本文讲解如何在 laravel 控制器中安全、高效地限制数据库查询范围，仅返回当前登录用户（或指定用户）关联的 booking 记录，避免数据越权访问。
本文讲解如何在 laravel 控制器中安全、高效地限制数据库查询范围，仅返回当前登录用户（或指定用户）关联的 booking 记录，避免数据越权访问。
在您当前的 eventController@index 方法中，使用 Booking::all() 会无差别加载全部预约记录，不仅存在性能隐患，更严重的是会造成用户数据泄露风险——每个用户都能看到他人预约信息。为确保数据隔离，必须对查询施加用户维度的约束。
✅ 正确做法：使用 Eloquent 的 where() + get()
首先，请将原始代码中的：
$bookings = Booking::all();
替换为带条件的查询。若需固定测试某位用户（如 user_id = 9），可写为：
$bookings = Booking::where('user_id', 9)->get();
但生产环境中应动态获取当前登录用户 ID。为此，需引入 Laravel 的认证门面：
use Illuminate\Support\Facades\Auth;
然后在 index() 方法中使用：
$bookings = Booking::where('user_id', Auth::id())->get();
⚠️ 注意：Auth::id() 在用户未登录时返回 null，直接使用可能导致 SQL 查询异常（如 WHERE user_id = NULL 不匹配任何行）。建议增加登录校验：
if (!Auth::check()) {
return redirect('/login')->with('error', '请先登录以查看您的预约日程。');
}
? 完整优化后的 index() 方法示例
<?php namespace App\Http\Controllers;
use Illuminate\Http\Request;
use App\Models\Booking;
use Illuminate\Support\Facades\Auth;
class EventController extends Controller
{
public function index()
{
// 强制登录校验
if (!Auth::check()) {
return redirect('/login')->with('error', '请先登录以查看您的预约日程。');
}
// 仅查询当前用户的所有预约
$bookings = Booking::where('user_id', Auth::id())->get();
// 构建日历事件数组（保持原有结构）
$events = [];
foreach ($bookings as $booking) {
$events[] = [
'id' => $booking->id,
'title' => $booking->title,
'resourceId' => $booking->resourceId,
'start' => $booking->start_date,
'end' => $booking->end_date,
];
}
return view('home', ['events' => $events]);
}
}
? 补充说明与最佳实践
- 命名规范：控制器类名建议使用 PascalCase，如 EventController（而非 eventController），符合 Laravel 社区约定；
- 模型关系优化：若 Booking 模型已定义 belongsTo(User::class) 关系，也可通过 Auth::user()->bookings 获取，语义更清晰；
- 性能提示：对于大量数据，考虑添加数据库索引：ALTER TABLE bookings ADD INDEX idx_user_id (user_id);；
- 授权增强：如需更细粒度控制（如管理员可查看全部），应结合 Laravel 的 Policy 或 Gate 机制，而非仅依赖 Auth::id()。
通过以上修改，您的应用将严格遵循“最小权限原则”，确保每位用户仅能访问自身数据，大幅提升安全性与用户体验。
