Laravel 11中Policy返回true仍返回403的问题排查

问题核心 #

你遇到的问题根源是权限验证时未正确关联到BoardItemFilePolicy：

• 你的create权限验证传入的是BoardItem实例，Laravel默认会尝试匹配BoardItem对应的Policy，而非BoardItemFilePolicy，导致你的Policy逻辑完全没被执行。
• 即使在Policy里直接返回true，因为Policy没被正确触发，权限验证依然失败。

解决方案 #

1. 确认Policy注册正确

确保在AuthServiceProvider（或AppServiceProvider）中正确注册BoardItemFilePolicy与BoardItemFile模型的关联：

// app/Providers/AuthServiceProvider.php
protected $policies = [
    \App\Models\BoardItemFile::class => \App\Policies\BoardItemFilePolicy::class,
];

2. 修改权限验证调用方式

在控制器中调用权限验证时，需要明确指定对应的Policy所属模型（BoardItemFile::class），并将BoardItem实例作为额外参数传入：

// BoardItemFileController 的 store 方法
if ($request->user()->cannot('create', [\App\Models\BoardItemFile::class, $item])) {
    abort(403);
}

或者使用Gate::authorize的写法：

Gate::authorize('create', [\App\Models\BoardItemFile::class, $item]);

原理说明 #

Laravel的权限系统通过模型类匹配对应的Policy：

• 当你仅传入$item（BoardItem实例）时，Laravel会去查找BoardItemPolicy，而非你定义的BoardItemFilePolicy。
• 通过数组[BoardItemFile::class, $item]传入，Laravel会识别到要使用BoardItemFilePolicy，并将$item作为第二个参数传递给create方法，你的Policy逻辑才会被正确执行。

内容的提问来源于stack exchange，提问作者Koe