Laravel 怎么限制只有管理员能编辑文章？-Laravel-PHP中文网

在 laravel 12 中，要让只有管理员能编辑文章，给更新路由加上 auth 和 can:update,post，并让 postpolicy::update() 检查当前登录用户的 is_admin。以下示例适用于已有登录功能、post 模型、更新控制器和 users.is_admin 字段的项目。

PostPolicy 怎么判断当前用户是不是管理员

从当前认证用户读取 is_admin。在 User 模型现有的 casts() 中加入 is_admin 的 boolean 转换，这样策略里的 === true 可以正确处理数据库读出的布尔值。

namespace App\Policies;

use App\Models\Post;
use App\Models\User;

class PostPolicy
{
    public function update(User $user, Post $post): bool
    {
        return $user->is_admin === true;
    }
}

配图是信息管理后台示意。按钮是否显示只影响界面。权限由后端策略决定，普通账号直接发出更新请求也要经过同一项检查。

把权限校验加到文章更新路由

将 PostPolicy 放在 app/Policies/PostPolicy.php。按 Laravel 默认命名约定，App\Models\Post 可自动发现对应策略。在 routes/web.php 导入控制器并为已有文章更新路由加上两个中间件。

use App\Http\Controllers\PostController;
use Illuminate\Support\Facades\Route;

Route::put('/posts/{post}', [PostController::class, 'update'])
    ->middleware(['auth', 'can:update,post'])
    ->name('posts.update');

路由匹配到 /posts/{post} 后，Laravel 将当前用户和绑定的 Post 交给 PostPolicy::update()。策略拒绝时，响应应为 403，更新控制器不会执行。

控制器只写入允许编辑的字段

在已有的 PostController 中调整 update 方法。这里沿用前面的 auth 和 can 中间件。Post 模型与 Request 的 import 按项目已有文件补齐。示例假定 posts 表已有 title 和 body。

Laravel Cloud

Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。

下载

public function update(\Illuminate\Http\Request $request, \App\Models\Post $post)
{
    $data = $request->validate([
        'title' => ['required', 'string', 'max:200'],
        'body' => ['required', 'string'],
    ]);

    $post->title = $data['title'];
    $post->body = $data['body'];
    $post->save();

    return response()->noContent();
}

在 User 模型已有的 casts() 返回值中合并 is_admin => boolean。通过后台或测试数据设定权限，用户资料更新接口只接收其允许修改的字段。

访客、普通用户和管理员会收到什么响应

用同一篇测试文章和同一份更新数据检查三个身份。未登录的 JSON 请求应收到 401，普通用户应收到 403，管理员在数据有效时应收到 204。再核对数据库，确认只有管理员的请求写入了新标题。

访客（未登录）：访问文章列表正常，点击编辑链接应重定向至登录页或直接返回 401/403。
普通用户（is_admin=false）：登录后可查看文章详情，但尝试 PUT/PATCH 更新接口时，应收到 403 错误，且数据库记录不变。
管理员（is_admin=true）：拥有完整编辑权限，可提交表单更新标题、内容等字段，且 is_admin 字段不可被表单数据覆盖。

在 PostController::update 中只写入已验证的文章字段，例如 title 和 body。在用户资料更新接口中同样使用字段白名单，避免普通用户通过提交 is_admin 修改自己的权限。

用功能测试验证权限和文章是否写入

保存为 tests/Feature/UpdatePostAuthorizationTest.php。测试要求已有 users.is_admin 和 posts 的迁移、可用的 PostFactory，以及已注册的 posts.update 路由。使用独立测试数据库运行 php artisan test --filter=UpdatePostAuthorizationTest。

<?php namespace Tests\Feature;

use App\Models\Post;
use App\Models\User;
use Illuminate\Foundation\Testing\RefreshDatabase;
use Tests\TestCase;

class UpdatePostAuthorizationTest extends TestCase
{
    use RefreshDatabase;

    public function test_only_admin_can_update_a_post(): void
    {
        $post = Post::factory()->create(['title' => 'Before']);
        $reader = User::factory()->create(['is_admin' => false]);
        $admin = User::factory()->create(['is_admin' => true]);
        $url = route('posts.update', $post);
        $payload = ['title' => 'After', 'body' => 'New content'];

        $this->putJson($url, $payload)->assertUnauthorized();
        $this->actingAs($reader)->putJson($url, $payload)->assertForbidden();
        $this->assertSame('Before', $post->refresh()->title);

        $this->actingAs($admin)->putJson($url, $payload)->assertNoContent();
        $this->assertSame('After', $post->refresh()->title);
    }
}

示例使用 JSON 请求，因此访客应收到 401。普通网页请求可能按应用设置重定向至登录页。管理员通过验证后收到 204，数据库标题随之改变。