Laravel应用中实现双层角色系统的技术求助

一、独立管理全局角色与企业角色的方法 #

1. 复用teams机制区分角色范围 #

• 新增一个固定的「全局Team」（比如ID设为1），所有网站全局角色都绑定到这个Team下
• 在User模型中新增判断逻辑，比如检查用户是否属于全局Team且拥有对应全局角色
• 权限验证时，优先校验全局角色权限，再匹配所属企业的角色权限

2. 扩展角色表添加类型字段 #

• 给roles表新增type枚举字段，可选值为global（全局角色）/company（企业角色）
• 创建角色时，全局角色指定type=global，企业角色指定type=company并关联对应Team（企业）
• 在User模型中封装自定义权限验证方法：

// 验证全局权限
public function hasGlobalPermission($permission)
{
    return $this->roles()->where('type', 'global')->first()?->hasPermissionTo($permission) ?? false;
}

// 验证指定企业的权限
public function hasCompanyPermission($permission, $companyId)
{
    return $this->roles()->where('type', 'company')->where('team_id', $companyId)->first()?->hasPermissionTo($permission) ?? false;
}

二、Laravel双层角色系统最佳实践 #

• 权限优先级分层：全局权限高于企业权限，若用户同时拥有两类角色，默认以全局权限为准
• 数据库索引优化：给roles表的type、team_id字段添加联合索引，提升权限查询效率
• 权限命名隔离：全局权限前缀用global.*，企业权限用company.*，避免权限冲突
• 中间件封装：自定义CheckGlobalPermission和CheckCompanyPermission中间件，分别处理两类权限验证，在路由中按需调用

三、类似场景的实例经验 #

• 曾在SaaS平台中采用扩展角色表的方案：
  1. 给roles表加type字段区分全局/租户角色
  2. 用户登录后默认加载全局角色权限，切换企业时动态加载对应企业的角色权限
  3. 在Blade模板中自定义@canGlobal('permission')和@canCompany('permission', $company)指令，快速判断权限
• 不建议单独维护全局角色权限表，会增加代码冗余和维护成本，扩展现有laravel-permission包的方案更高效

内容的提问来源于stack exchange，提问作者Hassan