本文详解如何修改 Laravel 控制器的 index 方法，通过 where() 条件动态限制查询范围，仅返回当前登录用户（或指定用户）关联的预约记录，避免数据越权访问。
本文详解如何修改 laravel 控制器的 `index` 方法，通过 `where()` 条件动态限制查询范围，仅返回当前登录用户（或指定用户）关联的预约记录，避免数据越权访问。
在 Laravel 应用中，直接调用 Booking::all() 会拉取数据库中全部预约记录，存在严重的安全与性能隐患——不仅暴露其他用户数据，还可能导致内存溢出或响应延迟。正确的做法是基于用户上下文进行精准过滤。
✅ 正确的查询方式
首先，在控制器顶部引入必要的门面：
use Illuminate\Support\Facades\Auth; use App\Models\Booking;
然后，在 index() 方法中替换原始查询逻辑：
public function index()
{
// ✅ 方式一：获取当前登录用户的全部预约（推荐用于个人中心/日程页）
$bookings = Booking::where('user_id', Auth::id())->get();
// ✅ 方式二：若需调试或固定用户（如测试 ID=9），可临时使用：
// $bookings = Booking::where('user_id', 9)->get();
$events = [];
foreach ($bookings as $booking) {
$events[] = [
'id' => $booking->id,
'title' => $booking->title,
'resourceId' => $booking->resourceId,
'start' => $booking->start_date,
'end' => $booking->end_date,
];
}
return view('home', ['events' => $events]);
}⚠️ 关键注意事项
-
务必校验用户登录状态：Auth::id() 在未登录时返回 null，可能触发 SQL 错误。建议添加前置检查：
if (!Auth::check()) { abort(403, 'Unauthorized access'); } -
避免 N+1 查询：若 Booking 模型关联了 User、Resource 等关系，且视图中需访问关联字段，请使用 with() 预加载：
Booking::where('user_id', Auth::id())->with('user', 'resource')->get(); -
字段命名一致性：确保数据库中实际字段名为 user_id（而非 userId 或 user_id_id），可通过 php artisan tinker 快速验证：
>>> App\Models\Booking::first()->getAttributes();
? 安全补充建议
- 在模型层面定义 fillable 或 guarded 属性，防止批量赋值漏洞；
- 对敏感操作（如删除、编辑）始终二次校验 booking->user_id === Auth::id()；
- 考虑使用 Laravel 的策略（Policies）实现细粒度权限控制。
通过以上改造，你的 index 方法将严格遵循“最小权限原则”，既保障用户数据隔离，又提升系统健壮性与可维护性。
