use App\Post;if ($user->can('create', Post::class)) { 
   // 执行相关策略中的 "create" 方法...
 }

use App\Post;Route::put('/post/{post}', function (Post $post) {
    // 当前用户可以进行更新操作...
})->middleware('can:update,post');

注册策略

一旦策略存在，它就需要进行注册。新的 Laravel 应用中包含的 AuthServiceProvider 有一个 policies 属性，可以将各种模型对应到它们的策略中。注册一个策略将引导 Laravel 在授权动作访问指定模型的时候使用哪种策略：

Route::post('/post', function () {
    // 当前用户可以进行创建操作...
 })->middleware('can:create,App\Post');

策略自动发现

只要模型和策略遵循标准的 Laravel 命名约定，Laravel 就可以自动发现策略，而不是手动注册模型策略。具体而言，策略必须位于包含模型的目录下的 Policies 目录中。因此，例如模型可以放在 app 目录中，而策略可以放在 app/Policies 目录中。此外，策略名称必须与模型名称匹配，并具有 Policy 后缀。因此，User 模型将对应于 UserPolicy 类。

如果您想提供自己的策略发现逻辑，可以使用 Gate :: guessPolicyNamesUsing 方法注册自定义回调。通常，应该从应用程序的 AuthServiceProvider 的 boot 方法调用此方法：

<?php
     namespace App\Http\Controllers;
     use App\Post;use Illuminate\Http\Request;
     use App\Http\Controllers\Controller;
     class PostController extends Controller{  
       /**
     * 更新指定博客帖子。
     *
     * @param  Request  $request
     * @param  Post  $post
     * @return Response
     * @throws \Illuminate\Auth\Access\AuthorizationException
     */ 
   public function update(Request $request, Post $post)  
     {     
       $this->authorize('update', $post);     
       // 当前用户可以更新博客...   
      }
  }

{note} 在 AuthServiceProvider

artisan command artisan 명령에서 make:policy artisan 명령 명령을 사용하여 정책을 생성할 수 있습니다. 생성된 정책은 app/Policies 디렉터리에 저장됩니다. 이 디렉토리가 애플리케이션에 없으면 Laravel이 자동으로 이를 생성합니다:

/**
 * 创建一个新的博客
 *
 * @param  Request  $request
 * @return Response
 * @throws \Illuminate\Auth\Access\AuthorizationException
 */
 public function create(Request $request){ 
    $this->authorize('create', Post::class);  
    // 当前用户可以新建博客...
  }

make:policy 명령은 빈 정책 클래스를 생성합니다. 생성하려는 클래스에 기본 "CRUD" 전략 메소드가 포함되어 있는 경우 명령을 실행할 때 --model 옵션을 지정할 수 있습니다:

<?php
    namespace App\Http\Controllers;
    use App\Post;use Illuminate\Http\Request;
    use App\Http\Controllers\Controller;
    class PostController extends Controller{ 
       public function __construct() 
          {       
            $this->authorizeResource(Post::class, 'post');  
           }
     }

{tip} 모든 전략은 Laravel의 서비스를 통과합니다. 구문 분석을 위해 컨테이너를 사용하면 정책 생성자에서 필요한 종속성을 유형 힌트하고 자동으로 주입할 수 있습니다.

정책 등록

정책이 존재하면 등록해야 합니다. 새로운 Laravel 애플리케이션에 포함된 AuthServiceProvider에는 다양한 모델을 해당 정책에 매핑하는 policies 속성이 있습니다. 정책을 등록하면 지정된 모델에 액세스하기 위한 작업을 승인할 때 어떤 정책을 사용할지 Laravel에 지시합니다:

@can('update', $post) 
  <!-- The Current User Can Update The Post -->
@elsecan('create', App\Post::class)  
  <!-- The Current User Can Create New Post -->
@endcan
@cannot('update', $post) 
  <!-- The Current User Can't Update The Post -->
@elsecannot('create', App\Post::class)
  <!-- The Current User Can't Create New Post -->
 @endcannot

정책 자동 검색

🎜As 표준 Laravel 명명 규칙과 전략을 따르면 Laravel은 모델 전략을 수동으로 등록하는 대신 자동으로 전략을 발견할 수 있습니다. 특히 정책은 모델이 포함된 디렉터리 아래의 Policies 디렉터리에 있어야 합니다. 예를 들어 모델은 app 디렉터리에 배치할 수 있고 정책은 app/Policies 디렉터리에 배치할 수 있습니다. 또한 정책 이름은 모델 이름과 일치해야 하며 Policy 접미사가 있어야 합니다. 따라서 User 모델은 UserPolicy 클래스에 해당합니다. 🎜🎜자신만의 정책 검색 로직을 제공하려면 Gate::guessPolicyNamesUsing 메서드를 사용하여 사용자 정의 콜백을 등록할 수 있습니다. 일반적으로 이 메소드는 애플리케이션 AuthServiceProvider의 boot 메소드에서 호출되어야 합니다. 🎜

@if (Auth::user()->can('update', $post))  
  <!-- The Current User Can Update The Post -->
@endif
@unless (Auth::user()->can('update', $post))   
 <!-- The Current User Can't Update The Post -->
@endunless

🎜{note} AuthServiceProvider에서 명시적으로 매핑된 모든 정책은 자동 검색 정책보다 우선합니다. 🎜🎜🎜🎜🎜🎜🎜🎜🎜작문 전략🎜🎜🎜🎜🎜🎜🎜

전략 방법

인증 정책이 등록되면 인증 후 각 작업에 대한 방법을 추가할 수 있습니다. 예를 들어, PostPolicy에 update 메소드를 정의합니다. 이 메소드는 지정된 사용자가 지정된 게시물 예. PostPolicy 中定义一个 update 方法，它会判断指定的 User 是否可以更新指定的 Post 实例。

update 方法接收 User 和 Post 实例作为参数，并且应该返回 true 或者 false 来表明用户是否被授权更新指定的 Post 。所以在这个例子中，我们需要判断用户的 id 是否和 post 中的 user_id 匹配。

@can('create', App\Post::class) 
   <!-- The Current User Can Create Posts -->
@endcan
@cannot('create', App\Post::class)   
      <!-- The Current User Can't Create Posts -->
@endcannot

你可以继续为这个授权策略定义额外的方法。比如，你可以定义 view 或者 delete 方法来授权 Post 的多种行为，还可以为自定义的策略方法起一个你自己喜欢的名字。

{tip} 如果在 Artisan 控制台生成策略时，使用 --model 选项，它会包含进去 view，create，update 和 delete 动作方法。

不包含模型方法

一些策略方法只接收当前认证通过的用户作为参数，而不用传入与授权相关的模型实例。最常见的应用场景就是授权 create 动作。比如，如果你正在创建一篇博客，你可能希望先检查一下当前用户是否有权限创建它。

当定义一个不需要传入模型实例的策略方法时，比如 create 方法，它就是不接收模型实例作为参数。你应该定义这个方法只接收授权过的用户作为参数。

rrreee

访客用户

默认情况下，如果传入的 HTTP 请求不是经过身份验证的用户发起的，那么所有的 gates 和策略都会自动返回 false。 然而，你可以允许这些授权检查通过声明一个『可选的』类型提示或为用户参数定义提供 null

update 메소드는 User 및 Post 인스턴스를 매개변수로 받고 true 또는 false는 사용자가 지정된 게시물을 업데이트할 권한이 있는지 여부를 나타냅니다. 따라서 이 예에서는 사용자의 id가 게시물의 user_id와 일치하는지 확인해야 합니다.

rrreee이 승인 정책에 대한 추가 방법을 계속 정의할 수 있습니다. 예를 들어, 게시의 다양한 동작을 승인하기 위해 보기 또는 삭제 메소드를 정의할 수 있으며 자신만의 맞춤 전략 메소드를 만들 수도 있습니다. 이름.

{tip} Artisan 콘솔에서 전략을 생성할 때 --model 옵션을 사용하면 view, create에 포함됩니다. , update 및 delete 작업 메서드.

🎜🎜

🎜🎜모델 메서드를 포함하지 않습니다. 🎜🎜일부 정책 메서드는 현재 인증 인증 관련 모델 인스턴스를 전달하는 대신 사용자를 매개변수로 전달합니다. 가장 일반적인 애플리케이션 시나리오는 create 작업을 승인하는 것입니다. 예를 들어, 블로그를 생성하는 경우 현재 사용자에게 블로그 생성 권한이 있는지 먼저 확인해야 할 수 있습니다. 🎜🎜create 메서드와 같이 모델 인스턴스 전달이 필요하지 않은 전략 메서드를 정의하는 경우 모델 인스턴스를 매개 변수로 받지 않습니다. 승인된 사용자만 매개변수로 허용하도록 이 메소드를 정의해야 합니다. 🎜rrreee🎜🎜🎜

🎜🎜Guest users🎜🎜기본적으로 들어오는 HTTP 요청이 인증되지 않은 경우 사용자라면 모든 게이트와 정책이 자동으로 false를 반환합니다. 그러나 "선택적" 유형 힌트를 선언하거나 사용자 매개변수 정의에 null 기본값을 제공하여 이러한 인증 확인이 게이트 및 정책에 전달되도록 허용할 수 있습니다. 🎜rrreee🎜🎜🎜 🎜🎜🎜

정책 필터

특정 사용자의 경우 지정된 정책을 통해 모든 작업을 승인할 수 있습니다. 이를 달성하려면 정책에서 before 메서드를 정의하세요. before 메서드는 정책의 다른 모든 메서드보다 먼저 실행되므로 지정된 정책 메서드 이외의 작업에 판단을 수행하도록 권한을 부여하는 방법을 제공합니다. 이 기능에 대한 가장 일반적인 시나리오는 승인된 애플리케이션의 관리자가 모든 작업에 액세스할 수 있다는 것입니다: before 方法。 before 方法会在策略中其它所有方法之前执行，这样提供了一种方式来授权动作而不是指定的策略方法来执行判断。这个功能最常见的场景是授权应用的管理员可以访问所有动作：

rrreee

如果你想拒绝某个用户所有的授权，你应当在 before 方法中返回 false 。如果返回值是 null ，那么授权会在这个策略中失败。

{note} 策略类的 before 方法不会被调用，如果该类不包含与被检查的功能名称相符的方法。

使用策略授权动作

通过用户模型

Laravel 内置的 User 模型包含两个有用的方法来授权动作： can 和 cant。这个 can 方法需要指定授权的动作以及相关的模型。例如，判断是否授权一个用户更新指定的 Post 模型：

rrreee

如果指定模型的 「策略已被注册 」， can 方法会自动调用合适的策略并返回一个 boolean 值。如果没有策略注册到这个模型，can 方法会尝试调用和指定动作名称相匹配的基于闭包的 Gate。

不需要指定模型的动作

记住，一些动作，比如 create 并不需要指定模型实例。在这种情况下，可传递一个类名给 can 方法。这个类名将被用于判定使用哪种策略授权动作：

rrreee

通过中间件

Laravel 包含一个可以在请求到达路由或者控制器之前就进行动作授权的中间件。默认情况下， IlluminateAuthMiddlewareAuthorize 中间件被指定到你的 AppHttpKernel 类中的 can 键上。让我们用一个授权用户更新博客的例子来讲解一下 can 这个中间件的使用：

rrreee

在这个例子中，我们传给了 can 中间件两个参数。第一个参数是需要授权的动作名称，第二个参数是我们希望传递给策略方法的路由参数。在这种情况下，我们使用了「 隐式路由绑定」，一个 Post 模型会被传递给策略方法。如果用户不被授权访问指定的动作，这个中间件将会生成带有 403rrreee

사용자에 대한 모든 승인을 거부하려면 before<에서 false<를 반환해야 합니다. /코드> 메소드 /코드> . 반환 값이 null 이면 이 정책에서 승인이 실패합니다.

{note} 클래스에 검사 중인 함수 이름의 메서드가 없으면 전략 클래스의 before 메서드가 호출되지 않습니다. 🎜