应在 app/Rules 目录下创建实现 Rule 接口的自定义规则类，通过构造函数接收角色标识与守卫名，用 Auth::guard()->user() 获取用户，调用 hasAnyRole() 或字段比对判断权限，避免使用闭包或全局函数。
如何在 Laravel 中创建角色验证规则对象
直接用 Rule::exists() 或闭包写法无法表达“用户是否拥有某角色”这种业务逻辑——它依赖当前认证用户、角色模型关系和守卫配置，必须封装成自定义规则对象。
推荐做法是继承 Illuminate\Contracts\Validation\Rule 接口，而不是用闭包或全局函数，这样可复用、可测试、参数清晰。
- 规则类应放在
app/Rules目录下（需手动创建） - 构造函数接收角色标识（如字符串
'admin'或数组['editor', 'publisher']），不硬编码守卫名 - 内部使用
Auth::guard()->user()获取当前用户，避免依赖auth()->user()全局调用（单元测试时难 mock）
rule 对象中如何判断用户是否拥有角色
核心是查用户与角色的关联关系。假设你用的是 spatie/laravel-permission，它的 hasRole() 方法返回布尔值，但注意：该方法不支持传入多个角色时“任一匹配”，默认是“全部拥有”。
所以规则里要显式处理多角色场景：
public function passes($attribute, $value)
{
$user = Auth::guard($this->guard)->user();
if (!$user) return false;
if (is_array($this->roles)) {
return $user->hasAnyRole($this->roles); // 注意：用 hasAnyRole 而非 hasRole
}
return $user->hasRole($this->roles);
}
-
hasAnyRole()是 spatie 包提供的方法，不在 Eloquent 原生能力中 - 若没装 spatie，而是用自定义角色字段（如
users.role），则改用$user->{$this->roleField} === $this->roles - 别在
passes()里抛异常，验证失败由框架统一处理；返回false即可
在 Form Request 或控制器中怎么用这个 rule
实例化后直接传入规则数组，不需要注册或别名——Laravel 自动识别实现了 Rule 接口的对象。
use App\Rules\HasRole;
public function rules()
{
return [
'post_id' => ['required', new HasRole('admin')],
'category' => ['nullable', new HasRole(['editor', 'publisher'])],
];
}
- 不要写成
HasRole::class，那只是类名，不是实例；必须带new - 如果需要指定守卫（比如 API 守卫），在构造时传参：
new HasRole('admin', 'api') - 错误消息默认是 “The :attribute is invalid.”，想自定义就得在
messages()方法里覆盖，或在语言文件加键validation.has_role
为什么不用 Policy 或中间件替代这个 rule
Policy 和中间件解决的是“请求能否执行”，而这个 rule 解决的是“数据是否符合业务约束”。比如后台表单提交时，即使用户有权限访问页面，也可能填了一个他无权操作的角色 ID —— 这属于数据验证范畴，不是访问控制。
混淆这两层会导致两个问题：
- API 返回 403（权限拒绝）而非 422（验证失败），前端难区分是输错了还是没权限
- 批量更新多个资源时，中间件只校验入口，rule 可逐条校验每个记录的角色合法性
- 测试时，rule 可单独实例化并传入模拟用户，而中间件测试成本高
真正容易被忽略的是守卫上下文：Auth::user() 默认取 web 守卫，API 请求里不显式指定守卫名，就会拿错用户实例。
