Laravel 9.30.1控制器中获取认证用户及社交书签应用权限控制问题问询

嘿，我来帮你一步步搞定这个问题～

为什么Auth::user()会返回null？ #

你遇到的这个情况，大概率是以下几个原因之一：

• 路由没在web中间件组里：Laravel的web中间件包含了会话管理、认证会话等关键功能，如果你的用户页面路由没放在web中间件下（比如误放到了api.php里，或者手动创建的路由组没加web中间件），就会导致无法读取认证会话，自然拿不到当前用户。默认routes/web.php里的路由已经自动应用了web中间件，你可以检查下你的路由定义。
• 在构造函数里直接获取认证用户：Laravel的中间件是在控制器构造函数执行之后才运行的，如果你在构造函数里直接调用Auth::user()，这时候认证中间件还没处理，肯定返回null。
• 使用了API路由但没配置token认证：如果你的路由在api.php里，默认用的是api中间件，它不依赖session，而是需要token认证（比如Passport/Sanctum），这时候直接用Auth::user()也会返回null。

如何在Controller中正确获取认证用户？ #

针对上面的问题，你可以这样调整：

1. 确保路由在web中间件下：
   检查你的路由定义，比如：

   // routes/web.php
   Route::get('/{userhandle}', [UserController::class, 'show'])->name('user.profile');
   

   这个默认就会应用web中间件，没问题。

2. 在控制器方法里获取用户：
   不要在构造函数里直接拿，而是在具体的方法中获取：

   use Illuminate\Support\Facades\Auth;
   use Illuminate\Http\Request;
   
   class UserController extends Controller
   {
       public function show($userhandle)
       {
           // 方法1：用Auth门面
           $currentUser = Auth::user();
           // 方法2：用Request实例
           $currentUser = request()->user();
           // 或者在方法参数里注入Request
           // public function show($userhandle, Request $request) {
           //     $currentUser = $request->user();
           // }
   
           // 后续逻辑...
       }
   }
   

3. 如果必须在构造函数里处理：
   可以用中间件闭包的方式，让认证逻辑先执行：

   public function __construct()
   {
       $this->middleware(function ($request, $next) {
           $this->currentUser = Auth::user();
           return $next($request);
       });
   }
   

更优的权限控制方案 #

针对你的社交书签场景，我推荐这样的实现思路，既简洁又符合Laravel的最佳实践：

1. 先定位页面所属用户 #

首先通过userhandle找到对应的用户：

$profileUser = User::where('handle', $userhandle)->firstOrFail();

2. 判断当前用户是否是页面所有者 #

$isOwner = Auth::check() && Auth::id() === $profileUser->id;

Auth::check()用来判断是否有用户登录，避免未登录时调用Auth::id()报错。

3. 动态筛选书签列表 #

直接在查询时根据$isOwner来决定是否展示私有链接，最好把这个逻辑封装到User模型的关联方法里，让控制器代码更干净：
在User模型里添加：

public function bookmarksVisibleTo(?User $viewer)
{
    return $this->bookmarks()
        ->when(!$viewer || $viewer->id !== $this->id, function ($query) {
            // 非所有者或未登录用户，只显示公开书签
            $query->where('is_private', false);
        });
}

然后在控制器里调用：

$bookmarks = $profileUser->bookmarksVisibleTo(Auth::user())->get();

4. 可选：用Gate/Policy做更规范的权限控制 #

如果你想让权限逻辑更解耦，可以定义一个Gate：
在AuthServiceProvider的boot方法里：

use Illuminate\Support\Facades\Gate;

Gate::define('view-private-bookmarks', function (?User $user, User $profileUser) {
    return $user && $user->id === $profileUser->id;
});

然后在控制器里判断：

if (Gate::allows('view-private-bookmarks', $profileUser)) {
    // 展示私有书签
} else {
    // 只展示公开书签
}

这种方式适合权限逻辑更复杂的场景，方便后续扩展。

内容的提问来源于stack exchange，提问作者Metalcoder