Laravel中API路由中间件实现角色认证的问题排查

问题场景 #

在Laravel项目的api.php中，通过自定义UserRole中间件实现接口的角色授权，逻辑是校验Auth()->user()->role是否匹配允许的角色。完成中间件编写和路由配置后，admin角色能正常访问目标接口，但使用author角色登录时始终返回"未授权"提示。

排查过程 #

1. 核对中间件逻辑代码，确认角色匹配逻辑（如in_array()）无语法错误
2. 检查路由配置，确认UserRole中间件已正确绑定到目标路由，且允许的角色参数包含author
3. 打印Auth()->user()->role的值后发现：author角色的实际存储值带有前后空格（例如'author '），而中间件中校验的是无空格的'author'，导致字符串严格匹配失败

解决方法 #

方案1：清理存储的角色值 #

直接修正数据库或认证数据源中author角色的存储值，去掉前后空格，确保值为纯字符串'author'。

方案2：在中间件中增加值清理逻辑 #

如果无法直接修改存储数据，可在中间件中对角色值做预处理，避免空格干扰：

// app/Http/Middleware/UserRole.php
public function handle(Request $request, Closure $next, ...$roles)
{
    // 清理角色值的前后空格
    $userRole = trim(Auth()->user()->role ?? '');
    
    if (!in_array($userRole, $roles)) {
        return response()->json(['message' => '未授权'], 403);
    }
    
    return $next($request);
}

预防建议 #

• 角色字段的存储要保持格式统一，避免无意识的空格、大小写差异
• 在用户角色赋值的环节（如注册、角色编辑接口）增加格式校验，自动清理前后空格，从源头避免此类匹配问题

内容的提问来源于stack exchange，提问作者Eranda Dava