auth::user()为空是因广播授权http请求无状态，不复用认证上下文；应改用request()->user()、绑定正确中间件、避免授权闭包中调用can()或复杂查询。
私有频道授权失败时，Auth::user() 为空或报 Call to a member function can() on null
这是最常见现象：用户已登录，但广播授权回调里 Auth::user() 返回 null。根本原因是 Laravel 广播授权是通过无状态 HTTP 请求触发的（比如 POST 到 /broadcasting/auth），它不会自动启动 session 或复用当前请求的认证上下文。
实操建议：
- 确保
BroadcastServiceProvider中的Broadcast::routes()被正确注册，且路由没被中间件拦截（尤其是自定义的 auth 中间件） - 检查
config/broadcasting.php的pusher或redis配置中auth_endpoint是否指向/broadcasting/auth（Laravel 默认路径） - 在
routes/channels.php的授权闭包里，别直接依赖Auth::user()；改用request()->user()—— 它由 Laravel 广播中间件自动注入，已走完完整的认证流程 - 如果用了 Sanctum 或 Passport，确认对应中间件（如
auth:sanctum）已绑定到广播路由：在BroadcastServiceProvider::boot()中调用Broadcast::routes(['middleware' => ['auth:sanctum']])
Channel 和 PrivateChannel 授权逻辑差异导致 Policy 被反复调用
当你用 PrivateChannel('App.User.' . $user->id) 订阅时，每次连接、重连、甚至前端手动触发 pusher.subscribe()，都会重新走一遍 routes/channels.php 里的授权逻辑。而如果你在授权闭包里写了 $user->can('view', $someModel)，就可能触发 Policy 实例化 + 方法调用 —— 这不是缓存问题，是设计上必然发生的多次执行。
实操建议：
- 避免在授权闭包里做复杂查询或调用
$user->can()；优先用静态权限判断，比如检查$user->hasRole('admin')或直读字段$user->id === (int) $channelNameParts[2] - 如果必须走 Policy，把关键判断提前缓存：例如在用户登录后，将允许访问的私有频道 ID 列表存入 Redis（key:
user:{$id}:allowed_channels），授权时只查缓存，不 new Policy - 注意
Channel（公共）不走授权，PrivateChannel和PresenceChannel才会触发；别误把本该用公共频道的场景写成私有
Redis 驱动下 broadcasting 缓存未生效，Policy 还是高频执行
Laravel 广播本身不缓存授权结果。所谓“减少重复 Policy 调用”，不是靠框架自动缓存，而是靠你控制授权逻辑的粒度和时机。Redis 在这里只负责消息分发，跟授权过程无关。
实操建议：
- 别指望配置
cache驱动能跳过授权回调 ——config/cache.php的设置对广播授权链路完全无效 - 真正可缓存的是 Policy 内部逻辑：比如
view方法里查了 3 张关联表，可以加一层Cache::remember("policy:{$user->id}:{$model->id}:view", 3600, fn() => ...) - 如果用的是
PresenceChannel，注意它会在用户加入/离开时多次触发授权（例如心跳续订），比PrivateChannel更容易放大调用次数
使用 Illuminate\Broadcasting\InteractsWithSockets 手动广播时绕过 Policy
有些场景下，你从控制器或 Job 主动调用 event(new UserUpdated($user))，希望它只推给特定用户，但又不想每次推送都再跑一遍 Policy —— 因为此时业务逻辑已经做过权限校验了。
实操建议：
- 不要在事件类的
broadcastOn()里返回PrivateChannel；改用Channel+ 前端按需订阅，或者用服务端指定接收者的方式 - 更稳妥的做法：用
Broadcast::to($user)->send(new UserUpdated($user))，它跳过频道授权，直接向目标用户 socket 发送，前提是你的广播驱动支持（Pusher/Redis 都支持） - 若仍需频道语义，可在
routes/channels.php中为这类“可信来源”单独设一个不校验 Policy 的通道前缀，比如PrivateChannel('trusted.App.User.' . $user->id)，并在授权闭包里识别前缀跳过检查
Policy 调用频次高，往往不是缓存没配对，而是把本该在业务层完成的权限收敛，错误地交给了广播通道这一层去重复判定。频道授权应该足够轻量，最好只做身份匹配，别让它承担业务规则判断的职责。
