Laravel Sanctum：路由与控制器设置Auth中间件的差异及最佳实践

除了路由设置可提供更精细控制（如仅针对GET请求生效）外，直接在路由上设置auth:sanctum中间件与在控制器中设置是否存在其他差异？以下为两种实现方式，请问哪种方式是最佳实践？

选项1：路由设置 #

Route::apiResource('products', ProductController::class)->middleware('auth:sanctum')->except(['index', 'show']);

选项2：控制器设置 #

class ProductController extends Controller
{
    public function __construct()
    {
        // 确保用户已认证才能访问资源
        $this->middleware('auth:sanctum')->except(['index', 'show']);

        // 确保用户有权限访问资源，授权逻辑由对应策略类处理
        $this->authorizeResource(Product::class, 'product');
    }
}

两者的核心差异 #

• 职责边界清晰度：路由层负责定义「哪些请求需要认证」，控制器专注处理业务逻辑。路由设置把认证规则放在路由文件，扫一眼就能明确所有接口的权限门槛；控制器设置则把认证与控制器绑定，适合控制器内方法有统一认证规则的场景。
• 复用性：如果多个控制器需要相同认证规则，路由层可通过路由组统一配置，不用在每个控制器构造函数里重复写；控制器设置的规则仅对当前控制器生效，复用性较弱。
• 权限逻辑集中性：像选项2那样同时在控制器构造函数里配置认证和authorizeResource授权，能把权限逻辑集中在一处，不用在路由和控制器两边分散管理。
• 动态调整灵活性：路由设置可针对不同HTTP方法、甚至特定路由参数单独配置认证，比如给某条POST请求单独加规则；控制器设置的规则是基于方法的，调整时必须修改控制器代码。

最佳实践建议 #

• 如果认证规则是路由/HTTP方法维度的（比如部分接口需认证、部分不需要，且规则和控制器方法不完全匹配），优先选路由设置，路由文件能直观展示所有接口的权限要求。
• 如果认证规则是控制器级别的（比如该控制器大部分方法需认证，仅少数例外，且和授权逻辑绑定紧密），选控制器设置更合适，权限逻辑和业务逻辑放在一起，维护更集中。
• 注意：用控制器设置时，别在构造函数里堆太多复杂判断，避免控制器初始化逻辑臃肿。

内容的提问来源于stack exchange，提问作者Mike