本文讲解如何在 Laravel 的控制器中安全、高效地过滤数据库查询，仅返回当前登录用户（或指定用户）关联的预约记录，避免数据越权访问。
本文讲解如何在 laravel 控制器中安全、高效地过滤数据库查询，仅返回当前登录用户（或指定用户）关联的预约记录，避免数据越权访问。
在 Laravel 应用中，确保用户只能查看自己创建的数据是基本的安全实践。您当前的 index() 方法使用 Booking::all() 获取全部预约记录，这不仅存在性能隐患（尤其当数据量增长时），更严重的是违反了数据隔离原则——任何用户都可能看到他人敏感日程。
要实现按用户 ID 过滤，核心是将无条件全表查询改为带 WHERE user_id = ? 条件的查询。以下是推荐的两种方式：
✅ 方式一：基于当前登录用户（推荐）
首先，在控制器头部引入 Auth 门面：
use Illuminate\Support\Facades\Auth;
然后修改查询逻辑，使用 Auth::id() 动态获取当前认证用户的 ID：
public function index()
{
$bookings = Booking::where('user_id', Auth::id())->get();
$events = [];
foreach ($bookings as $booking) {
$events[] = [
'id' => $booking->id,
'title' => $booking->title,
'resourceId' => $booking->resourceId,
'start' => $booking->start_date,
'end' => $booking->end_date,
];
}
return view('home', ['events' => $events]);
}
⚠️ 重要注意事项：
- 确保该控制器方法受 auth 中间件保护（如在 routes/web.php 中定义路由时添加 ->middleware('auth')），否则 Auth::id() 可能为 null，导致查询失败或返回空结果；
- 若需更健壮的处理，可添加空值检查：Auth::check() ? Auth::id() : abort(401)。
✅ 方式二：按指定用户 ID 查询（适用于管理后台等场景）
若需临时查询某特定用户（如 ID=9）的数据，可直接传入数值：
$bookings = Booking::where('user_id', 9)->get();
但切勿在生产环境中硬编码用户 ID，应通过路由参数、请求参数或授权策略动态传入，并配合权限校验（例如管理员才能查看他人数据）。
? 进阶优化建议
- 使用 Laravel 的 Eloquent 资源集合 或 API 资源类统一格式化输出；
- 将数组映射逻辑提取为 Eloquent 访问器（如在 Booking 模型中定义 getEventArrayAttribute()），提升可维护性；
- 对 start_date / end_date 字段确保数据库类型为 DATETIME，并使用 Carbon 实例标准化格式，避免前端解析异常。
通过以上改造，您的 index() 方法将严格遵循“最小权限”原则，既保障数据安全，又为后续扩展（如分页、搜索、多租户支持）打下坚实基础。
