Laravel Sanctum tokenCan始终返回false问题排查求助

核心问题分析 #

你登录时调用$user->tokenCan('server:update')的逻辑存在错误：tokenCan方法用于检查当前请求所使用的Token的权限，而用户刚通过Auth::attempt完成登录时，还未创建任何关联的Token，因此这个判断必然返回false。

解决方案 #

1. 修正用户权限判断逻辑 #

需要直接从用户模型本身获取权限（而非通过Token），比如在User模型中添加权限判断方法：

// app/Models/User.php
public function hasAbility(string $ability): bool
{
    // 根据你的权限存储逻辑实现，示例：
    // 假设用户表有json类型的abilities字段，存储用户权限数组
    return in_array($ability, $this->abilities ?? []);
    
    // 若基于角色权限（用户关联角色表，角色含abilities字段）：
    // return $this->role && in_array($ability, $this->role->abilities);
}

然后修改登录接口中的判断代码：

// 替换原有的tokenCan判断
if ($user->hasAbility('server:update')) {
    $ability = ['server:update'];
} else {
    $ability = ['server:read'];
}

2. 正确传递用户信息（Token使用方式） #

登录接口返回newToken后，后续API请求需在请求头中携带Token以验证身份：

• 在请求头添加 Authorization: Bearer {newToken}（{newToken}为登录接口返回的令牌值）
• 此时在受保护接口中，可正常使用auth()->user()->tokenCan('server:update')检查当前Token的权限

3. 修正登录失败的状态码 #

你当前登录失败返回500状态码不符合HTTP规范，应改为401（未授权）：

if (!Auth::attempt($validated)) {
    return response()->json(
        ['status' => false, 'message' => 'email or password does not match'],
        401 // 改为401更合理
    );
}

完整修改后的登录接口示例 #

public function login(UserLoginRequest $userLoginRequest)
{
    $validated = $userLoginRequest->validated();

    if (!Auth::attempt($validated)) {
        return response()->json(
            ['status' => false, 'message' => 'email or password does not match'],
            401
        );
    }

    $user = auth()->user();

    try {
        // 从用户模型获取权限
        $ability = $user->hasAbility('server:update') ? ['server:update'] : ['server:read'];

        $user->tokens()->delete();
        $newToken = $user->createToken($user->name, $ability)->plainTextToken;
    } catch (\Throwable $exception) {
        return response()->json(
            ['status' => 'error', 'error' => $exception->getMessage()],
            500
        );
    }

    return response()->json(
        [
            'status' => 'login success',
            'newToken' => $newToken,
        ],
        200
    );
}

内容的提问来源于stack exchange，提问作者Eloïse