Laravel Blade中@can指令失效始终返回false问题求助

问题背景 #

项目基于Vue.js + Laravel开发，采用JWT身份认证。控制器中使用Gate进行权限控制功能正常，但Blade模板里的@can指令始终返回false，无法正确渲染权限对应的内容。

相关代码 #

Blade模板（blade.php） #

@can('show_users')
     <span>"users</span>
@endcan

AuthServiceProvider #

public function boot(): void
{
    $this->registerPolicies();
    foreach (Permission::all() as $permission) {
        Gate::define($permission->name, function ($user) use ($permission) {
            return $user->hasPermission($permission);
        });
    }
}

User模型 #

public function hasRole($roles){
    return !! $roles->intersect($this->roles)->all();
}

public function hasPermission($permission)
{
    return $this->permissions->contains('name',$permission->name) || $this->hasRole($permission->roles);
}

Auth配置（config/auth.php） #

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'users',
    ],
    'api' => [
        'driver' => 'jwt',
        'provider' => 'users',
        'hash' => false,
    ],
],

核心原因 #

1. Guard不匹配：Laravel的@can指令默认使用web guard获取当前用户（依赖Session），而JWT认证的用户信息存储在api guard中，导致@can调用时使用未登录的web用户，返回false。
2. 关联数据未预加载：权限定义时未预加载Permission关联的Role数据，可能导致hasRole方法无法正确计算权限交集。

解决方案 #

方案1：在@can中指定API Guard的用户 #

直接将api guard的用户实例传递给@can的第二个参数，让Gate使用正确的用户进行权限判断：

@can('show_users', auth('api')->user())
    <span>"users</span>
@endcan

方案2：全局设置默认Guard为API #

如果项目以API场景为主，无需维护web guard的Session用户，可在AppServiceProvider的boot方法中修改默认认证Guard：

public function boot(): void
{
    // 全局设置默认guard为api
    config(['auth.defaults.guard' => 'api']);
}

这样auth()->user()会自动获取api guard的用户，@can指令也会使用该用户进行权限校验。

方案3：修复权限关联数据加载问题 #

在AuthServiceProvider中加载Permission时，预关联Role数据，避免N+1查询并确保hasRole方法能拿到正确的Role集合：

public function boot(): void
{
    $this->registerPolicies();
    // 预加载roles关联
    foreach (Permission::with('roles')->get() as $permission) {
        Gate::define($permission->name, function ($user) use ($permission) {
            return $user->hasPermission($permission);
        });
    }
}

同时优化User模型的hasRole方法，兼容传入查询构造器的情况：

public function hasRole($roles){
    // 如果传入的是关联查询构造器，先转为集合
    if($roles instanceof \Illuminate\Database\Eloquent\Relations\BelongsToMany){
        $roles = $roles->get();
    }
    // 用count()判断交集是否存在，比all()更直观
    return $roles->intersect($this->roles)->count() > 0;
}

验证步骤 #

1. 执行php artisan config:clear清除配置缓存
2. 登录后输出auth('api')->user()确认用户已正确加载
3. 输出auth('api')->user()->hasPermission(Permission::where('name','show_users')->first())验证权限方法返回值

内容的提问来源于stack exchange，提问作者mehdi musavi