laravel权限控制的关键在于gate与policy各司其职、分层协作：gate处理无模型依赖的通用判断，policy负责绑定模型的细粒度操作；二者不可替代，需严格遵循注册、命名与调用规范。
部署 Laravel 的权限控制，关键不是选 Gate 还是 Policy，而是让它们各司其职、配合生效。用错地方会导致权限静默失效、调试困难，甚至绕过业务规则。核心在于：Gate 处理无模型依赖的通用判断，Policy 承担绑定模型的细粒度操作；二者不是替代关系，而是分层协作关系。
Gate 适合什么场景
当权限逻辑不依赖具体数据实例时，用 Gate 更轻量、易测试、易复用。
- 后台功能开关（如「是否允许导出报表」「是否启用灰度发布」）
- 角色硬编码判断（如
$user->is_admin或$user->role === 'super_admin'） - 访客限制（如「未登录用户能否查看首页」，仍需保留
$user参数位） - 多参数通用能力（如
Gate::allows('create-post', [$category, $flag])）
定义时闭包第一个参数必须是 $user，哪怕没用到；传入 null 或非 User 实例会直接返回 false，且不报错。
Policy 必须满足的三个硬条件
Policy 写得再对，只要漏掉任一注册环节，就等于没写。
- 类名严格为
PostPolicy（不能是PostsPolicy、PostAuthPolicy或大小写混用） - 文件路径必须是
app/Policies/PostPolicy.php，且文件名与类名完全一致 - 在
AuthServiceProvider::boot()中显式注册：Gate::policy(Post::class, PostPolicy::class)；若模型用了自定义命名空间（如App\Models\Post），注册项也必须用完整命名空间
漏掉任一条件，Laravel 就当 Policy 不存在，转而查 Gate —— 如果 Gate 也没定义同名能力，结果就是 false。
Unified LLM Gateway - One API for 70+ AI models. Route to GPT, Claude, Gemini, Qwen, Deepseek, Grok and more
下载
统一LLM网关 - 一个API对接70+AI模型，使用单一API密钥即可调用GPT、Claude、Gemini、Qwen、Deepseek、Grok等主流模型。
方法名与调用必须严格一致
Laravel 不做任何自动映射或 fallback，名字错就直接报错。
-
@can('edit', $post)→ 必须存在PostPolicy::edit(User $user, Post $post) -
$this->authorize('update', $post)→ 同样要求PostPolicy::update()方法存在 - IDE 补全提示的
update()不代表你该调用update；调用'edit'就必须写edit() - 方法名不匹配时抛
BadMethodCallException，而不是静默走 Gate 或返回false
Policy 内禁止调用 request() 或 session()，所有依赖需通过参数传入；建议加类型声明（如 User $user, ?Post $post），让 PHP 提前暴露问题。
混用时的关键行为差异
相同语法，底层走向完全不同，容易踩坑。
-
@can('update', $post)：先查 Policy 方法，不存在才 fallback 到同名 Gate -
$this->authorize('update', $post)：只找 Policy，找不到直接 403，不查 Gate -
Gate::allows('update-post', $post)：只执行 Gate 定义，完全不进 Policy，即使已注册 -
$user->can('update', $post)和$this->authorize('update', $post)行为不同——前者可能走 Gate，后者强制走 Policy
复杂权限常需分层协作：比如用 Gate::before() 统一放行 super_admin，再交由 Policy 处理普通用户的模型级规则。
