Laravel多对多关系下，如何在Policy中验证用户模型所有权？

假设你的User和Comment模型已经定义好多对多关联：

// User.php
public function comments()
{
    return $this->belongsToMany(Comment::class);
}

// Comment.php
public function users()
{
    return $this->belongsToMany(User::class);
}

1. 创建并配置评论策略（CommentPolicy） #

如果还没生成Policy，先执行Artisan命令：

php artisan make:policy CommentPolicy --model=Comment

接着在app/Providers/AuthServiceProvider.php中注册该Policy：

protected $policies = [
    Comment::class => CommentPolicy::class,
];

2. 在Policy中编写权限验证逻辑 #

在CommentPolicy里添加update和delete方法，核心是检查当前用户是否在评论的关联用户列表中：

// app/Policies/CommentPolicy.php
public function update(User $user, Comment $comment)
{
    // 用查询构造器判断，性能更优（避免加载用户所有评论）
    return $user->comments()->where('comments.id', $comment->id)->exists();
}

public function delete(User $user, Comment $comment)
{
    // 复用update的验证逻辑，减少重复代码
    return $this->update($user, $comment);
}

如果你的多对多中间表有额外权限字段（比如is_owner标识是否为拥有者），可以追加条件：

return $user->comments()
    ->where('comments.id', $comment->id)
    ->where('user_comment.is_owner', true)
    ->exists();

3. 在控制器中触发权限验证 #

在评论的控制器方法里，调用authorize方法自动完成权限校验：

// app/Http/Controllers/CommentController.php
public function update(Request $request, Comment $comment)
{
    // 无权限时自动抛出403响应
    $this->authorize('update', $comment);

    // 后续的评论更新逻辑...
}

public function destroy(Comment $comment)
{
    $this->authorize('delete', $comment);
    
    // 后续的评论删除逻辑...
}

额外提示 #

• 在视图中判断权限可以用@can指令：

@can('update', $comment)
    <a href="{{ route('comments.edit', $comment) }}">编辑评论</a>
@endcan

• 尽量避免使用$user->comments->contains($comment)，这种方式会先加载用户所有评论到集合再判断，数据量大时性能较差，查询构造器的exists()更高效。

内容的提问来源于stack exchange，提问作者Mike Ponce