直接用spatie/laravel-permission，避免手动建表和关联逻辑；安装后须先publish迁移再migrate，确保guard_name一致；禁用givepermissionto()混用，api中间件传参数名非类名，@can前必须@auth，上线前执行permission:cache-reset。
别自己建表写关联逻辑——直接用 spatie/laravel-permission，95% 的 RBAC 场景它都覆盖了，而且能避开手动实现时最常踩的隐性 bug。
安装后迁移失败或 can() 总是返回 false
这不是代码写错了，而是数据库没对上。必须严格按顺序执行两步，缺一不可：
- 先运行
php artisan vendor:publish --provider="Spatie\Permission\PermissionServiceProvider" --tag="permission-migrations"（注意带--tag参数，否则生成空迁移） - 再跑
php artisan migrate
常见陷阱：
-
roles表里guard_name字段为空 → 导致$user->assignRole('admin')静默失败；查一下SELECT * FROM roles;，不一致就手动UPDATE roles SET guard_name = 'web' WHERE guard_name IS NULL; - 你的默认 guard 是
api，但创建角色时没传guard_name→ 权限绑定到了web，auth()->user()->can('edit-post')必然 false
assignRole() 和 givePermissionTo() 别混用
前者走角色路径，后者直授权限——混用会让权限来源不可追溯，审计和批量回收全乱套。
Laravel 13.2.0
下载
PHP中文网提供Laravel 13.2.0版本下载，Laravel框架 是基于 PHP 8.3+ 的高性能框架，官方推荐通过 Composer 安装。它内置 AI SDK、JSON:API Resources 及原生向量搜索，支持属性驱动开发与队列路由，大幅提升开发效率。相比旧版，13.2.0 优化了缓存 TTL 管理与实时通信，无需 Redis 即可横向扩展。作为现代 Web 开发首选，它兼顾安全与极速体验，助您快速构建企业级应用。
- ✅ 推荐：所有权限只绑在角色上，用户只通过
$user->assignRole('editor')获取权限 - ❌ 避免：
$user->givePermissionTo('delete-user')单独赋权，$user->can('delete-user')会返回 true，但你查不到这个权限属于哪个角色 - ⚠️ 注意：
$user->can()检查的是「角色权限 + 直接权限」的并集，不是覆盖关系
API 路由里用 can 中间件总报错
错误写法：middleware => ['can:delete-post,App\Models\Post'] —— Laravel 会尝试 new 一个空模型，$post->id 为 null，Gate 回调收不到真实数据。
- ✅ 正确方式一（推荐）：路由参数名与模型绑定一致，比如
Route::delete('/posts/{post}', ...)->middleware('can:delete-post,post')（第二个post是参数名，不是类名） - ✅ 正确方式二：手动查库，
$request->user()->can('delete-post', \App\Models\Post::findOrFail($request->route('id')))，适合非标准路径如/posts/{id}/ban
Blade 里 @can 报 Call to a member function can() on null
未登录时 auth()->user() 是 null，@can 不会自动兜底。
- ✅ 安全写法必须嵌套：
@auth @can('edit-post')...@endcan @endauth - ❌ 单独写
@can('edit-post')在游客访问时直接炸 - ⚠️ 注意：修改权限后要清缓存，
php artisan cache:forget spatie.permission.cache或php artisan permission:cache-reset
最易被忽略的点：多 guard 场景下，guard_name 必须显式传，不能依赖 config 默认值；缓存没清干净时，改了权限也看不到效果——这两处出问题，调试起来最耗时间。
