Laravel控制器中如何正确调用Policy自定义done方法授权

核心问题分析 #

你调用$this->authorize('done', [auth()->user(), Task::class])的方式错误，Laravel无法正确匹配到Policy的done方法，导致授权直接失败且未触发Policy逻辑。原因在于：

• authorize方法会自动注入当前认证用户作为Policy方法的第一个参数，无需手动传递auth()->user()
• 第二个参数仅需传递模型实例、模型类，或自定义参数（非用户实例）

正确调用方式分两种场景 #

场景1：针对单个Task实例的授权（比如标记某任务为完成） #

1. 定义TaskPolicy的done方法

参数顺序必须是User在前，Task实例在后：

// app/Policies/TaskPolicy.php
public function done(User $user, Task $task)
{
    // 示例授权逻辑：仅任务创建者可操作
    return $user->id === $task->user_id;
}

2. 控制器中调用授权

直接传递具体的Task实例即可，Laravel自动传入当前用户：

// app/Http/Controllers/TasksController.php
public function done(Task $task)
{
    $this->authorize('done', $task);
    
    // 后续业务逻辑
    $task->update(['status' => 'done']);
    return redirect()->back();
}

3. 对应路由配置（需模型绑定）

// routes/web.php
Route::post('tasks/{task}/done', [TasksController::class, 'done'])->name('tasks.done');

场景2：针对Task模型类的全局授权（比如批量完成所有任务） #

1. 定义TaskPolicy的done方法

仅需接收User参数，无需Task实例：

// app/Policies/TaskPolicy.php
public function done(User $user)
{
    // 示例授权逻辑：仅管理员可批量操作
    return $user->is_admin;
}

2. 控制器中调用授权

传递Task::class指定使用的Policy：

// app/Http/Controllers/TasksController.php
public function done()
{
    $this->authorize('done', Task::class);
    
    // 后续批量操作逻辑
    auth()->user()->tasks()->update(['status' => 'done']);
    return redirect()->back();
}

3. 对应路由配置（无需模型参数）

// routes/web.php
Route::post('tasks/done', [TasksController::class, 'done'])->name('tasks.done');

额外检查点 #

• 确认AuthServiceProvider中已正确绑定Policy（使用authorizeResource会自动完成，但可手动确认）：

  // app/Providers/AuthServiceProvider.php
  protected $policies = [
      Task::class => TaskPolicy::class,
  ];
  

• 确保控制器中已调用authorizeResource：

  // app/Http/Controllers/TasksController.php
  public function __construct()
  {
      $this->authorizeResource(Task::class, 'task');
  }
  

内容的提问来源于stack exchange，提问作者mstdmstd