使用spatie-permission给model_has_permissions加branch_id后数据被覆盖问题

问题原因 #

Spatie-Permission默认的model_has_permissions表唯一约束是model_id、model_type、permission_id，这意味着同一用户与同一权限只能存在一条关联记录。当你使用syncWithPivotValues时，方法会基于permission_id匹配已有记录，直接更新branch_id字段，而非新增记录。

解决方案 #

1. 更新中间表唯一约束 #

首先修改model_has_permissions表的唯一索引，将branch_id加入到唯一组合中，确保用户、权限、分支的组合唯一：

创建新的迁移文件执行修改：

use Illuminate\Database\Migrations\Migration;
use Illuminate\Database\Schema\Blueprint;
use Illuminate\Support\Facades\Schema;

return new class extends Migration
{
    public function up()
    {
        Schema::table('model_has_permissions', function (Blueprint $table) {
            // 删除原有唯一索引
            $table->dropUnique(['model_id', 'model_type', 'permission_id']);
            // 添加包含branch_id的新唯一索引
            $table->unique(['model_id', 'model_type', 'permission_id', 'branch_id']);
        });
    }

    public function down()
    {
        Schema::table('model_has_permissions', function (Blueprint $table) {
            $table->dropUnique(['model_id', 'model_type', 'permission_id', 'branch_id']);
            $table->unique(['model_id', 'model_type', 'permission_id']);
        });
    }
};

2. 确保关联包含pivot字段 #

在User模型的permissions关联中，明确指定branch_id为pivot字段：

use Spatie\Permission\Models\Permission;

class User extends Authenticatable
{
    // ... 其他代码

    public function permissions()
    {
        return $this->morphToMany(Permission::class, 'model', 'model_has_permissions')
            ->withPivot('branch_id')
            ->withTimestamps();
    }
}

3. 替换syncWithPivotValues为attach方法 #

sync系列方法基于permission_id匹配记录，无法满足同一权限多分支的需求，改用attach方法新增记录：

// 循环添加每个权限与分支的关联
foreach ($this->selectedPermissions as $permissionId) {
    $this->user->permissions()->attach($permissionId, ['branch_id' => $branch->id]);
}

如果需要避免重复插入同一用户-权限-分支组合，可以先查询是否存在：

foreach ($this->selectedPermissions as $permissionId) {
    $exists = $this->user->permissions()
        ->where('permissions.id', $permissionId)
        ->wherePivot('branch_id', $branch->id)
        ->exists();

    if (!$exists) {
        $this->user->permissions()->attach($permissionId, ['branch_id' => $branch->id]);
    }
}

4. 自定义权限检查逻辑 #

默认的can()方法不会考虑branch_id，需要添加自定义方法来检查特定分支的权限：

// 在User模型中
public function canForBranch(string $permissionName, int $branchId): bool
{
    return $this->permissions()
        ->where('name', $permissionName)
        ->wherePivot('branch_id', $branchId)
        ->exists();
}

使用示例：

if ($user->canForBranch('edit-post', $branchId)) {
    // 执行分支特定的权限操作
}

内容的提问来源于stack exchange，提问作者Joseph