导出接口必须加中间件校验，路由层绑定can:export-users权限，控制器内重查Gate权限，查询时显式select字段并脱敏，文件名用UUID、存私有目录、流式下载，失败日志避免敏感信息。
导出接口必须加中间件校验
导出操作本质是高权限数据读取行为，不能只靠前端按钮隐藏来控制——用户直接请求 /exports/users 就能绕过所有限制。Laravel 的路由中间件是最小成本、最可靠的拦截点。
- 在路由定义中明确绑定权限中间件，比如
Route::get('/exports/users', [ExportController::class, 'users'])->middleware('can:export-users') - 确保
AuthServiceProvider中已注册对应策略，且export-users权限在数据库或 Gate 闭包里有明确定义 - 别用
auth()->user()->can('export-users')在控制器里手动判断再 return，这容易漏掉异常分支，也违背 Laravel 的授权流程设计
导出前务必重查用户权限而非复用 session 数据
导出常耗时较长，从点击到真正执行可能间隔数秒甚至更久；期间用户权限可能已被管理员调整。依赖 session 或缓存中的旧权限状态，会导致「本不该导出的人导出了」。
- 在
ExportController@users这类实际触发导出的方法开头，重新调用Gate::allows('export-users')或$this->authorize('export-users') - 避免在 job 或队列中做权限检查——job 执行时用户 session 已不可用，必须把必要权限标识（如角色 ID、权限快照）随 job 一起传入，并在 job 内部基于这些静态信息做判断
- 如果导出逻辑涉及多模型（如导出带关联部门的用户），权限检查要覆盖所有敏感字段来源，不能只查主模型
Excel 导出时别把敏感字段塞进 collection 再过滤
常见错误是先用 User::with('department')->get() 拿全量数据，再用 map() 去掉手机号、身份证号等字段——这等于先把敏感数据加载进内存，再丢弃，既浪费资源又存在审计风险。
- 用
select()显式指定导出字段，例如User::select('id', 'name', 'email', 'department.name as dept_name')->...->get() - 对需要脱敏的字段，直接在查询中处理：
DB::raw("CONCAT(LEFT(phone, 3), '****', RIGHT(phone, 4)) as phone") - 若用
maatwebsite/excel，不要在FromCollection中对 collection 做敏感字段删减，而应改用FromQuery，让 SQL 层就完成字段裁剪和脱敏
导出文件名和路径别暴露业务细节
生成的文件名如 users_export_20241015_admin.xlsx 或临时路径如 storage/app/exports/admin/... 会泄露用户角色、导出时间、甚至数据范围，被恶意利用后可辅助社工或撞库。
- 文件名统一用 UUID + 固定前缀，例如
export_550e8400-e29b-41d4-a716-446655440000.xlsx - 临时文件存到非公开目录（如
storage/app/private_exports/），并通过控制器流式输出，不提供直接 URL 访问 - 下载响应头中禁用
Content-Disposition: attachment; filename=...暴露原始名，改用filename*=UTF-8''export.xlsx编码方式
权限控制最易被忽略的点：导出任务失败时的日志。如果导出因权限不足中断，错误日志里不能打印用户 ID、IP、完整请求参数——这些信息一旦落盘，就成了权限审计的反向突破口。
