本文介绍如何在 laravel 应用中通过中间件或控制器逻辑，根据用户角色（如普通用户 role=0、管理员 role=1）动态控制页面访问权限，并自动重定向无权限用户，兼顾简洁性与可维护性。
本文介绍如何在 laravel 应用中通过中间件或控制器逻辑，根据用户角色（如普通用户 role=0、管理员 role=1）动态控制页面访问权限，并自动重定向无权限用户，兼顾简洁性与可维护性。
在 Laravel 中实现基于角色的访问控制（Role-Based Access Control, RBAC），无需引入复杂包即可快速落地。你已将用户角色存储于 users 表的 role 字段（0 表示普通用户，1 表示管理员），接下来可通过两种轻量级方式实现「访问前校验 + 无权限自动重定向」：
✅ 推荐方案：使用自定义中间件（清晰、复用性强）
首先创建中间件：
php artisan make:middleware CheckAdminRole
编辑 app/Http/Middleware/CheckAdminRole.php：
<?php
namespace App\Http\Middleware;
use Closure;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Redirect;
class CheckAdminRole
{
public function handle(Request $request, Closure $next)
{
// 确保用户已登录且为管理员（role == 1）
if (!auth()->check() || auth()->user()->role !== 1) {
return Redirect::route('home')->with('error', '仅管理员可访问此页面。');
}
return $next($request);
}
}然后在 app/Http/Kernel.php 的 $routeMiddleware 数组中注册：
'admin' => \App\Http\Middleware\CheckAdminRole::class,
最后，在路由中应用该中间件：
// routes/web.php
Route::get('/admin/results', [AdminController::class, 'showResults'])
->name('admin.results')
->middleware('admin'); // ✅ 自动拦截非管理员访问
// 公共页面无需中间件
Route::get('/results', [ResultsController::class, 'index'])->name('results');✅ 优势：逻辑集中、易于复用（可同时用于多个管理路由）、符合 Laravel 最佳实践。
⚠️ 备选方案：控制器基类（适合极简场景，但扩展性弱）
若项目极小且暂不计划扩展权限体系，可在控制器中手动校验：
// app/Http/Controllers/AdminController.php
public function showResults()
{
if (!auth()->check() || auth()->user()->role !== 1) {
return redirect()->route('results')->with('error', '权限不足。');
}
return view('admin.RESULTSadmin');
}⚠️ 注意：此方式需在每个受保护方法中重复校验，易出错且难以统一维护，不推荐在多页面或后续可能扩展权限时使用。
? 安全补充建议
- 永远不要仅依赖前端隐藏链接：即使导航菜单中不显示 /admin/results，仍必须服务端校验；
-
避免硬编码角色值：建议定义常量提升可读性：
// app/Models/User.php const ROLE_USER = 0; const ROLE_ADMIN = 1;
校验时改用 auth()->user()->role === User::ROLE_ADMIN；
- 结合 Laravel 原生授权机制更佳：未来可升级为 Policy 或 Gates（如 Gate::define('viewAdminPanel', ...)），支持更细粒度控制。
综上，优先使用中间件方案——它结构清晰、职责单一、天然支持路由分组与批量保护，是 Laravel 生态中实现角色访问控制的标准且稳健路径。
