Laravel中无法为Policy响应设置HTTP状态码问题求助

使用Laravel 10 + JSON:API库构建API，Expense与User为一对一关系，采用TDD开发。其中一个测试用例验证非资源所有者请求他人的Expense资源时，应返回404 Not Found（避免泄露资源存在性），但实际授权失败时始终返回403 Forbidden。

当前实现细节：

• ExpensePolicy的view()方法：所有者请求返回true，非所有者调用Response::denyAsNotFound()返回404响应对象
• ExpenseController使用默认逻辑，未自定义方法
• 已验证Policy逻辑：else分支改true返回200，改false返回403，所有者请求正常返回资源

JSON:API库会对Laravel的授权响应做统一处理，默认情况下会将Policy返回的拒绝响应（包括Response::denyAsNotFound()）转换成符合JSON:API规范的403错误格式，覆盖了原本的404状态码。

方案1：抛出NotFoundHttpException替代返回Response对象 #

在Policy中直接抛出Laravel内置的404异常，JSON:API库会正确识别并返回404响应：

use Symfony\Component\HttpKernel\Exception\NotFoundHttpException;

public function view(User $user, Expense $expense)
{
    if ($user->id === $expense->user_id) {
        return true;
    }

    throw new NotFoundHttpException();
}

方案2：配置JSON:API库尊重自定义授权响应 #

检查项目根目录下的json-api.php配置文件，找到与授权错误处理相关的选项，调整为允许保留Policy返回的原始响应状态码。例如，部分版本的JSON:API库支持通过设置handle_authorisation_failures为false来禁用自动转换，让Laravel的授权响应直接生效。

方案3：自定义JSON:API控制器的授权处理 #

如果使用JSON:API提供的控制器基类，可以重写authorize方法，手动处理Policy的返回结果：

use Illuminate\Auth\Access\Response;

protected function authorize($ability, $model)
{
    $result = $this->authorizeForUser(
        $this->request->user(), $ability, $model
    );

    if ($result instanceof Response && $result->denied()) {
        if ($result->status() === 404) {
            throw new NotFoundHttpException();
        }

        $this->failedAuthorization();
    }

    return true;
}

内容的提问来源于stack exchange，提问作者Franco Rule Calvi