调用 $user->assignRole('admin') 报“Call to undefined method”最常见原因是 User 模型未正确引入并使用 Spatie\Permission\Traits\HasRoles trait，需确认 app/Models/User.php 中已 use 该 trait 且未拼错。
直接用 Spatie\Permission 的 assignRole() 和 givePermissionTo() 就能完成授权，但必须先确保迁移已执行、User 模型用了 HasRoles trait，否则调用会报错或静默失败。
为什么 $user->assignRole('admin') 报 Call to undefined method？
最常见原因是漏掉了模型层的集成。Spatie 不会自动注入方法，一切依赖 HasRoles trait。
- 检查
app/Models/User.php是否引入了use Spatie\Permission\Traits\HasRoles; - 确认该
User类确实使用了use HasRoles;（不是写在注释里，也不是拼错成HasRole） - 如果项目用了自定义用户模型（比如
AdminUser），得在那个模型里加 trait，而不是默认的User - 运行过
php artisan migrate吗？没建表会导致 trait 内部查询失败，但错误可能被吞掉，表现为方法不存在
assignRole() 与 givePermissionTo() 的权限叠加逻辑
两者不互斥，而是并集关系：用户最终权限 = 所有角色权限 ∪ 直接赋予的权限。这点常被误读为“覆盖”或“优先级”。
-
$user->assignRole('editor')→ 继承editor角色下所有权限 -
$user->givePermissionTo('delete users')→ 额外多出这个权限，即使editor角色没配 -
$user->revokePermissionTo('delete users')只删直接权限，不影响角色继承来的 - 没有“取消角色权限”的快捷方式；要删角色下的某权限，得操作
$role->revokePermissionTo()
路由层授权：用中间件还是 @can？
中间件适合粗粒度拦截（如整个后台入口），@can 适合模板内条件渲染（如按钮显隐）。混用时注意缓存一致性。
- 注册中间件前，确认
app/Http/Kernel.php的$routeMiddleware已添加：‘permission’ => \Spatie\Permission\Middlewares\PermissionMiddleware::class,
- 路由中写
->middleware('permission:posts.edit')，注意权限名必须和数据库里permissions.name完全一致（大小写敏感） -
@can('posts.edit')在 Blade 中生效，但若权限刚通过代码新增，而缓存未刷新，会判断失败——此时需手动运行php artisan permission:cache-reset - 不要在中间件里动态创建权限，比如
Permission::firstOrCreate(...)，部署时容易因并发导致重复或锁表
Seeder 中批量初始化权限和角色的坑
用 Seeder 是唯一推荐的初始化方式，但要注意缓存和幂等性。
- 每次运行前先清旧缓存：
app()[\Spatie\Permission\PermissionRegistrar::class]->forgetCachedPermissions(); - 权限用
firstOrCreate而非create，避免重复插入报唯一键冲突 - 角色也用
firstOrCreate，再用$role->syncPermissions([...])替代givePermissionTo，可安全更新已有角色的权限集合 - 别在
AppServiceProvider::boot()里做这事——每次 HTTP 请求都执行，性能灾难
权限名一旦写进数据库，就别轻易改；重命名需要同步更新所有中间件、@can、代码里的字符串，且缓存清理不及时会导致权限失效。宁可在设计阶段定好规范，比如统一用 资源.动作 格式（posts.delete），少用空格或大写。
