laravel策略未生效的主因是未在authserviceprovider中显式注册，或未通过authorize()等正确入口调用；policy需手动绑定、参数完整、关系预加载，且方法名须严格匹配调用名。
策略类写好了但 403 Forbidden 依旧弹出，不是权限逻辑错了，而是它根本没被调用——Laravel 不会自动扫描或注册策略，必须显式绑定、正确传参、走对授权入口。
Policy 类为什么没生效
最常见原因是没在 AuthServiceProvider 中注册，或者控制器里用了 Gate::allows() 这类手动调用，绕过了 Laravel 的策略解析机制。
-
Gate::policy(Post::class, PostPolicy::class)必须显式写在AuthServiceProvider@boot里；只放app/Policies/目录下、类名符合PostPolicy规范，Laravel 不会自动认 - 控制器中优先用
$this->authorize('update', $post)，它会根据模型类自动匹配已注册的 Policy；直接调Gate::allows('update-post', $post)就得自己确保 gate 名和闭包逻辑完全对得上 - 如果用了
authorizeResource(Post::class)，路由参数名必须是{post}（小写单数），且控制器方法签名要匹配资源约定，比如show(Post $post)—— 参数名和类型缺一不可
策略方法接收不到模型数据
现象是 $post->user_id 为空、$post->author 报 N+1 或 null，这不是 Policy 的问题，而是传入的模型实例本身字段不全或关系未加载。
- Policy 方法接收的是“已查出的模型实例”，它不做任何额外查询。如果需要关联数据，必须在控制器里提前
with('author')或load('author') - 别在 Policy 方法里写
$post->user->is_admin—— 这会触发隐式查询，也违背职责分离。应该由控制器把必要上下文传进来，比如$this->authorize('update', [$post, $status]) - 若不确定关系是否已加载，可用
$post->relationLoaded('author')先判断，避免静默查库
自定义策略方法名不被识别
Laravel 默认只识别 view、create、update、delete 这几个标准动作名。写个 canPublishDraft，不显式调用就等于没写。
- 调用时必须写全名：
$this->authorize('canPublishDraft', $post)，不能简写成'publishDraft' - 对应 Policy 方法签名必须严格匹配：
public function canPublishDraft(User $user, Post $post)，参数顺序、类型、命名都不能错 -
Gate::define()不支持通配符，'publish*'这种写法无效；想复用逻辑，抽成 private 方法，别依赖命名自动映射
真正容易被忽略的点是：Policy 是“被动触发”的——它不运行、不报错、不提示，只是静默跳过。调试时别只盯逻辑返回值，先确认 Gate 是否真把模型实例传进去了，$arguments 是不是空数组，再查注册和调用链路是否完整。
