laravel策略类需手动注册到gate才能生效，未注册时authorize()直接返回false或403；必须在authserviceprovider中调用gate::policy(post::class, postpolicy::class)，并使用$this->authorize()而非gate::allows()，且确保模型实例已预加载关联数据。
策略类写好了但没生效，不是逻辑错了，而是它根本没被调用——Laravel 不会自动注册或扫描 Policy，必须手动绑定、走对调用路径、传对参数。
Policy 必须显式注册到 Gate 才能触发
放在 app/Policies/ 目录下、类名是 PostPolicy，Laravel 也不会自动认。不注册，$this->authorize('update', $post) 就不会进你的方法，而是直接返回 false 或抛出 403。
- 在
app/Providers/AuthServiceProvider.php的boot()方法里加：Gate::policy(Post::class, PostPolicy::class); - 确保顶部已引入：
use App\Models\Post;和use App\Policies\PostPolicy; - 改完记得清缓存：
php artisan config:clear，否则旧注册可能还在生效
控制器里要用 $this->authorize()，别手写 Gate::allows()
Gate::allows('update', $post) 是绕过策略解析的“裸调用”，它只查你用 Gate::define() 定义的闭包，不会自动匹配 PostPolicy::update()。而 $this->authorize() 才会根据模型类查注册表，再反射调用对应 Policy 方法。
- 正确写法：
$this->authorize('update', $post);（自动识别Post→PostPolicy） - 资源控制器可一步到位：
$this->authorizeResource(Post::class);，但要求路由参数名是{post}、方法参数是Post $post - 自定义方法名（如
canPublishDraft）必须显式调用：$this->authorize('canPublishDraft', $post)，不能简写
Policy 方法里拿不到关联数据？不是 Policy 的问题
常见现象：$post->user_id 是 null，或 $post->author->is_admin 报错 —— 这说明传进来的 $post 实例本身字段不全，或者关系没预加载。
- Policy 不做查询，只处理“已查出”的模型实例。控制器里得提前
with('author')或load('author') - 避免在 Policy 里写
$post->user->is_admin，这会触发隐式 N+1 查询，也违背职责分离 - 若需判断是否已加载关系，用
$post->relationLoaded('author')先兜底，别直接访问 - 复杂条件（如时间窗口、角色组）应抽到模型方法里，Policy 只留布尔调用，例如：
return $user->inEditorGroup() || $post->isEditableWithinTimeframe();
真正容易被忽略的是：Policy 生效与否没有日志、不报错、也不提示。调试时第一反应不该是“逻辑写错了”，而是先确认 Gate::policy() 是否执行了、$this->authorize() 是否真把模型传进去了、$post 实例里到底有啥字段——用 dd($post->toArray()) 看一眼最实在。
