Laravel Sanctum中$user->tokenCan()检查的最佳实践位置

针对你提出的三个问题，直接给出实操性结论：

1. Token检查的正确位置 #

最优方案是统一放在对应控制器方法的Form Request类中，而非分散到控制器或路由。

Laravel的Form Request设计初衷就是把「请求验证」和「授权逻辑」从控制器中剥离，保持控制器专注于业务逻辑。你可以为每个控制器方法创建独立的Request类（比如IndexPostRequest、ShowPostRequest、DestroyPostRequest），在各自的authorize()方法中实现对应权限检查：

// app/Http/Requests/IndexPostRequest.php
public function authorize()
{
    return $this->user()?->tokenCan('view');
}

// app/Http/Requests/DestroyPostRequest.php
public function authorize()
{
    $user = $this->user();
    $post = $this->route('post'); // 获取路由绑定的模型实例
    return $user?->tokenCan('delete') && $user->id === $post->user_id;
}

如果多个Request类有重复的授权逻辑，可以创建一个父类Request（比如BaseApiRequest），将通用逻辑抽离到父类，子类按需重写即可。

2. 移到控制器、Request返回true的不良影响 #

这种做法会带来三个明显问题：

• 控制器臃肿：授权逻辑混入业务代码，违背「瘦控制器」原则，后期维护难度陡增
• 重复造轮子：无法利用Form Request自动触发的授权流程，每次都要手动编写tokenCan检查，容易遗漏或写错
• 复用性差：多个方法需要相同授权逻辑时，只能重复复制代码，无法统一维护

3. 是否应该在路由文件中做Token检查？ #

路由层适合做全局/批量的粗粒度权限控制，比如给一组路由统一设置中间件，要求所有请求必须具备某个基础token能力：

Route::middleware(['auth:sanctum', function ($request, $next) {
    if (!$request->user()->tokenCan('api-access')) {
        abort(403);
    }
    return $next($request);
}])->group(function () {
    Route::get('/posts', [PostController::class, 'index']);
    Route::delete('/posts/{post}', [PostController::class, 'destroy']);
});

但不适合做细粒度的资源级授权（比如检查用户是否有权限操作某个特定资源），因为路由层无法方便获取请求参数、模型实例等信息，强行实现会导致路由代码混乱，违背职责分离原则。

内容的提问来源于stack exchange，提问作者BobbyP