Laravel 11无模型调用UserPolicy的create方法始终返回false

问题核心分析 #

1. 无参数调用的本质问题：调用User::find(2)->can('create')时，Laravel无法关联到UserPolicy——因为策略是与模型绑定的，没有模型上下文（类或实例），Gate系统不知道应该触发哪个策略的方法，因此直接返回false，不会执行策略内的代码。你的预期结果不符合Laravel授权机制的设计逻辑。
2. 带模型类参数调用失效原因：User::find(2)->can('create', User::class)返回false且不执行策略代码，大概率是Spatie Laravel Permission的前置回调干扰，或策略方法签名不匹配导致。

解决方案 #

1. 纠正授权调用方式 #

按照官方文档规范，对于create这类无需现有模型实例的动作，必须传递模型类作为第二个参数，明确指定授权的模型上下文：

User::find(2)->can('create', User::class);

2. 调整策略方法签名 #

当传递User::class作为参数时，Laravel会尝试将其作为第二个参数传入策略方法。修改策略方法，允许接收可选的第二个参数：

<?php

namespace App\Policies;

use App\Models\User;

class UserPolicy
{
    public function create(User $user, mixed $model = null): bool
    {
        dd('hello word', $user->id);
    }
}

3. 排查Spatie Laravel Permission干扰 #

检查config/permission.php中的before回调配置，确保它不会提前返回false（默认配置仅在用户拥有*权限时返回true，否则返回null，让Gate继续执行策略）：

// config/permission.php
'before' => function ($user, $ability) {
    if ($user->hasPermissionTo('*')) {
        return true;
    }
    // 禁止返回false，保持默认返回null即可
},

如果自定义了before回调，避免在无对应权限时返回false，否则会跳过策略执行流程。

4. 确认策略自动绑定正常 #

Laravel 11默认开启策略自动发现，只要策略类命名正确（UserPolicy对应User模型）且位于App\Policies目录下，无需手动调用Gate::policy()。若之前手动绑定过，建议删除AppServiceProvider中的相关代码，避免冲突。

验证测试 #

调整后执行以下代码，即可正常触发策略内的dd输出：

User::find(2)->can('create', User::class);

内容的提问来源于stack exchange，提问作者MrCakes