Policy不生效的根本原因是授权链断裂，需确保Policy类在AuthServiceProvider中显式注册、传入完整模型实例、方法名严格匹配且调用方式正确。
Policy 类写好了但不生效，基本就是没注册、没传对模型实例、或方法名没对上——不是 Laravel 有问题，是授权链断在了某一个环节。
Policy 类生成后必须手动注册到 AuthServiceProvider
Artisan 命令 php artisan make:policy PostPolicy --model=Post 只生成文件，不会自动注册。Laravel 不会扫描 app/Policies/ 目录，必须显式绑定。
- 打开
app/Providers/AuthServiceProvider.php，在$policies数组里加一条：App\Models\Post::class => App\Policies\PostPolicy::class - 确保类名和命名空间完全匹配，比如模型在
App\Models\Post，策略在App\Policies\PostPolicy，少一个Models或多一个App\都会导致绑定失败 - 如果用的是 PHP 8+ 和属性升级写法（如
#[Policy(Post::class)]），注意 Laravel 当前稳定版（11.x）仍不支持该语法，必须走数组注册
$this->authorize() 调用时传参必须是完整模型实例
常见错误：传 ID、数组、空对象，或者模型字段为空却没预加载关联关系。
Laravel Cloud
下载
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
- ✅ 正确：
$post = Post::with('user')->findOrFail($id); $this->authorize('update', $post); - ❌ 错误：
$this->authorize('update', $id)（Policy 方法签名是(User $user, Post $post)，类型不匹配直接报This action is unauthorized） - ❌ 危险写法：
public function update(User $user, Post $post) { return $user->id === $post->user_id; }—— 如果$post->user_id是 null（比如模型查出来没带字段），判断就失效；应确保控制器中查的是完整数据，或用$post->getAttribute('user_id')显式取值 - 若需判断关联模型（如
$post->author->is_editor），先确认$post->relationLoaded('author')，否则静默触发 N+1 查询
自定义方法名必须显式调用，不能靠命名自动映射
Laravel 默认只识别 view、create、update、delete、viewAny 等标准动作名。叫 publish 或 archive 没问题，但调用时不能省略。
- ✅ 正确：
$this->authorize('publish', $post)+public function publish(User $user, Post $post): bool { ... } - ❌ 无效：
$this->authorize('editDraft', $post)却只定义了editDraft()方法 —— Gate 根本找不到这个 ability，直接 fallback 到 deny - 别指望
'edit*'这种通配符写法，Gate 不支持；想复用逻辑，抽成私有方法，比如private function canModify(Post $post): bool { ... }，然后在多个 public 方法里调用它
Blade 组件里别直接用 @can 查模型权限
组件接收的是解构后的属性（如 :id="$post->id"），没有完整模型实例，@can('update', $id) 会失败；且组件内调 Auth::user()->can() 容易漏掉预加载逻辑，引发 N+1。
- ✅ 推荐：父模板里算好布尔值，透传进去：
:canUpdate="Auth::check() && Auth::user()->can('update', $post)" - ✅ 更健壮：用
Post::with('user')->get()预加载，再循环传参，避免组件内重复查询 - ⚠️ 注意：组件内不要写
@can('update', ['post' => $post])这类数组传参，Policy 方法不接受这种结构，会类型报错
Policy 生效的关键不在“写了多少方法”，而在于“模型实例是否完整、注册是否精准、调用是否严格匹配”。漏掉一次 with()、少写一个命名空间、或多传一个参数，都可能让整个授权逻辑静默失效——调试时优先检查 Gate 的 raw() 返回值和 $arguments 内容，比翻策略代码更快定位问题。
