Laravel 10中authorizeResource仅触发Create Policy，Update/Delete不生效问题

针对你遇到的authorizeResource仅触发Create方法Policy，Update/Delete无响应，手动调用授权直接403且无Policy日志的问题，按以下步骤排查：

1. 确认控制器方法的模型注入是否正确 #

控制器的Update/Delete方法必须注入对应的Task模型实例，否则authorizeResource无法获取模型对象，自然不会触发Policy的对应方法：

// 正确写法
public function update(UpdateTaskRequest $request, Task $task)
{
    // ...
}

// 错误写法（缺少Task实例注入）
public function update(UpdateTaskRequest $request)
{
    // ...
}

2. 检查路由参数名与authorizeResource的第二个参数匹配 #

authorizeResource(Task::class, 'task')的第二个参数'task'必须和路由中的参数名完全一致。执行php artisan route:list查看Update/Delete路由的参数：

• 正确示例：PUT|PATCH /tasks/{task}（参数为task）
• 错误示例：PUT|PATCH /tasks/{id}（参数为id，与authorizeResource指定的task不匹配）

如果参数名不匹配，要么修改authorizeResource的第二个参数为路由参数名，要么修改路由定义的参数名。

3. 验证Policy方法的签名是否正确 #

Policy中的update/delete方法必须遵循用户在前，模型在后的参数顺序，且类型提示正确，否则Laravel无法找到对应方法，直接返回403且不会进入方法执行（无日志）：

// 正确写法
public function update(User $user, Task $task)
{
    // 这里添加日志验证是否触发
    \Log::info('Policy update方法触发');
    return $user->id === $task->user_id;
}

// 错误写法（参数顺序错误/缺少模型参数）
public function update(Task $task, User $user)
{
    // ...
}

public function update(User $user)
{
    // ...
}

4. 修正手动授权的调用方式 #

你手动调用的$this->authorize('update', [auth()->user(), Task::class])是错误的，正确的调用应该直接传递模型实例：

// 正确写法（控制器方法已注入$task时）
$this->authorize('update', $task);

// 或者需要手动获取模型时
$task = Task::find($request->id);
$this->authorize('update', $task);

错误的参数传递会导致Laravel无法匹配到正确的Policy方法，直接返回403。

5. 确认Policy已在AuthServiceProvider中注册 #

检查app/Providers/AuthServiceProvider.php的$policies数组，确保Task模型与对应Policy已正确绑定：

protected $policies = [
    Task::class => TaskPolicy::class,
];

未注册的Policy不会被Laravel调用。

6. 排查模型路由键名是否影响实例注入 #

如果Task模型自定义了getRouteKeyName方法，确保路由传递的参数值与该字段匹配，否则Laravel无法正确注入模型实例，导致authorizeResource无法获取模型：

// 模型中自定义路由键名示例
public function getRouteKeyName()
{
    return 'uuid'; // 此时路由参数必须传递uuid值，而非默认的id
}

内容的提问来源于stack exchange，提问作者mstdmstd