Laravel策略授权通过定义策略类、注册到门面、控制器调用、Blade模板判断及静态方法实现细粒度权限控制。
在 Laravel 应用中，当需要对用户操作资源（如编辑文章、删除评论）进行细粒度权限判断时，若仅依赖中间件或简单布尔检查，将难以应对复杂业务场景。策略授权（Policy Authorization）提供了一种将授权逻辑与模型解耦、按资源组织的结构化方式。以下是实现策略授权控制的具体方法：
一、定义策略类
策略类用于封装针对某个模型的授权规则，每个方法对应一种操作权限（如 view、update、delete），接收当前用户和目标模型实例作为参数，返回布尔值表示是否允许。
1、在终端执行 Artisan 命令生成策略类，例如为 Post 模型创建策略：
php artisan make:policy PostPolicy --model=Post
2、Laravel 会在 app/Policies/ 目录下生成 PostPolicy.php 文件，其中包含默认的空方法骨架。
3、在 PostPolicy 类中实现具体授权逻辑，例如 update 方法可判断用户是否为文章作者：
public function update(User $user, Post $post)
{
return $user->id === $post->user_id;
}
二、注册策略到门面
Laravel 需明确知道哪个策略类负责处理哪个模型的授权，注册后才能通过 Policy::can() 或 $user->can() 正确分发调用。
1、打开 app/Providers/AuthServiceProvider.php 文件，在 boot() 方法内调用 Gate::policy() 进行绑定。
2、添加如下注册语句：
Gate::policy(Post::class, PostPolicy::class);
3、确保已在该文件顶部引入对应的模型和策略类：
use App\Models\Post;
use App\Policies\PostPolicy;
三、在控制器中使用策略授权
控制器是常见调用授权逻辑的位置，Laravel 提供多种语法支持，包括手动调用 Gate、使用 authorize() 辅助方法，或直接调用用户实例的 can() 方法。
1、在控制器方法开头使用 $this->authorize() 触发策略检查，例如在 update 方法中：
$this->authorize('update', $post);
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
2、若授权失败，Laravel 自动抛出 Illuminate\Auth\Access\AuthorizationException 异常，并由异常处理器返回 403 响应。
3、也可使用 if (!$request->user()->can('update', $post)) { abort(403); } 实现条件拦截。
四、在 Blade 模板中启用策略判断
前端界面需根据用户权限动态渲染操作按钮或链接，Blade 提供了 @can 和 @cannot 指令，底层自动匹配已注册的策略。
1、在视图文件中使用 @can 指令包裹受控内容：
@can('update', $post)
编辑
@endcan
2、@can 接收策略动作名和模型实例，自动查找已注册的对应策略类并调用其方法。
3、注意：模型实例必须已加载关联关系且非空，否则策略方法可能收到 null 导致报错。
五、使用策略类静态方法进行授权
对于不涉及具体模型实例的权限（如“创建新文章”），可在策略中定义接收模型类名或 null 的方法，并配合 Gate::allows() 手动调用。
1、在 PostPolicy 中添加 create 方法：
public function create(User $user)
{
return $user->role === 'editor' || $user->is_admin;
}
2、在控制器中调用：
if (!Gate::allows('create', Post::class)) { abort(403); }
3、此方式不触发策略自动绑定机制，必须显式传入类名字符串，且 Gate::allows() 第二个参数不可省略。
