Laravel资源控制器update方法生产环境403错误排查求助

1. 检查PostPolicy的权限逻辑匹配性 #

你的PostPolicy中update方法要求用户同时满足是admin且是文章的创建者：

return $user->role === "admin" && $user->id === $post->user_id;

• 排查点：线上环境中，你尝试更新的文章的user_id是否与当前登录admin用户的id完全一致？
  比如本地测试时你用自己的账号创建文章，线上可能是从其他环境导入的文章，user_id对应不存在的用户或者非当前admin的用户，导致Policy权限校验失败。
• 临时测试方案：可以暂时把Policy的update方法改为仅验证admin身份，看是否还会403：

  return $user->role === "admin";
  

  如果问题消失，说明是文章归属的问题，需要调整数据或者权限逻辑。

2. 确认PostPolicy已正确注册 #

使用authorizeResource必须在AuthServiceProvider中注册模型与Policy的绑定，否则Laravel无法找到对应的Policy进行权限校验：

• 检查app/Providers/AuthServiceProvider.php的$policies数组是否包含：

  protected $policies = [
      Post::class => PostPolicy::class,
  ];
  

  如果缺失，添加后重新部署线上环境。

3. 检查Role中间件的大小写与字段一致性 #

你的role中间件中判断$user->role === $role，注意字符串的大小写：

• 排查线上数据库中users表的role字段值是否为全小写的"admin"？比如如果线上数据是"Admin"或者"ADMIN"，会导致匹配失败，触发中间件的logout和403。
• 可以修改中间件为大小写不敏感匹配，或者统一数据库中的role值格式：

  if ($user && strtolower($user->role) === strtolower($role)) return $next($request);
  

4. 验证CSRF令牌的有效性 #

虽然其他模型更新正常，但仍需确认线上环境的CSRF令牌是否正常传递：

• 查看浏览器控制台的请求详情，检查POST请求是否携带了正确的_token参数，或者请求头中是否有X-CSRF-TOKEN。
• 可以尝试禁用浏览器缓存，或者重新登录后再测试更新操作，避免会话过期导致的令牌失效。

5. 检查表单提交的完整性 #

你的update方法的验证规则中titre是必填项，但提供的表单代码中没有看到titre的输入字段，这会导致验证失败，但通常验证失败会返回原表单页面而非403。不过仍需确认：

• 表单中是否存在titre输入框，且提交时正确传递了该字段的值？
• 完善update方法的验证失败处理逻辑，避免因未处理验证错误导致的异常：

  if ($validator->fails()) {
      return back()->withErrors($validator)->withInput();
  }
  

6. 检查线上环境的路由缓存 #

如果线上环境执行过php artisan route:cache，而后续修改了路由配置或中间件，可能导致缓存的路由与实际代码不一致：

• 执行php artisan route:clear清除路由缓存，然后重新测试。

内容的提问来源于stack exchange，提问作者h4tref