Laravel Spatie权限：如何按角色为不同用户配置权限集？

一、权限播种最佳实践 #

一次性播种所有权限是合理的，不管是通用权限还是superadmin专属权限，统一初始化到数据库更便于后续管理。不需要为不同权限拆分播种逻辑，只需在播种时给superadmin专属权限做标记即可。

具体播种代码示例（Laravel环境）：

// database/seeders/PermissionSeeder.php
public function run()
{
    // 通用权限（所有用户可见/可分配）
    $generalPermissions = ['contacts', 'email', 'bids'];
    foreach ($generalPermissions as $permission) {
        \Spatie\Permission\Models\Permission::firstOrCreate([
            'name' => $permission,
            'guard_name' => 'web' // 使用默认web guard即可
        ]);
    }

    // Superadmin专属权限
    $superExclusivePermissions = ['payment_methods', 'manage_super_roles'];
    foreach ($superExclusivePermissions as $permission) {
        \Spatie\Permission\Models\Permission::firstOrCreate([
            'name' => $permission,
            'guard_name' => 'web',
            'is_super_only' => true // 需要在permissions表新增该布尔字段
        ]);
    }
}

二、Guard的用法与选择 #

Guard的核心作用是处理用户身份认证逻辑，比如区分web端登录、API端登录，或者不同用户体系的登录（如前台用户和后台管理员）。

针对你的场景：

• 如果superadmin和admin是同一个User模型下的不同角色（共享同一张用户表），完全不需要单独创建superadmin guard，直接用默认的web guard即可。Spatie权限会通过guard_name字段关联，统一使用web guard能让权限体系更简洁。
• 只有当你需要为superadmin搭建独立的登录流程、独立用户表时，才需要创建专属guard（比如配置config/auth.php里的guard，对应单独的模型和表），但这会增加复杂度，你的场景完全没必要这么做。

三、业务场景具体实现 #

场景1：Superadmin为Admin分配权限 #

1. 先给Superadmin角色赋予所有权限（包括专属权限）：

$superAdminRole = \Spatie\Permission\Models\Role::firstOrCreate(['name' => 'superadmin', 'guard_name' => 'web']);
$superAdminRole->syncPermissions(\Spatie\Permission\Models\Permission::all());

2. 在权限分配页面，加载所有权限（包括is_super_only为true的），允许superadmin选择分配给admin，但建议加一层逻辑限制：禁止将superadmin专属权限分配给admin（避免权限溢出）：

// 分配权限时的逻辑示例
if ($request->permissions) {
    $filteredPermissions = \Spatie\Permission\Models\Permission::whereIn('name', $request->permissions)
        ->where('is_super_only', false)
        ->pluck('name');
    $admin->syncPermissions($filteredPermissions);
}

场景2：Admin为团队成员分配权限（无法查看superadmin专属权限） #

1. 给Admin角色只赋予通用权限：

$adminRole = \Spatie\Permission\Models\Role::firstOrCreate(['name' => 'admin', 'guard_name' => 'web']);
$generalPermissions = \Spatie\Permission\Models\Permission::where('is_super_only', false)->pluck('name');
$adminRole->syncPermissions($generalPermissions);

2. 在Admin的权限分配页面，查询权限时过滤掉superadmin专属权限：

// 加载权限列表供admin选择
$availablePermissions = \Spatie\Permission\Models\Permission::where('is_super_only', false)->get();

这样Admin页面只会显示通用权限，自然无法分配或查看superadmin专属权限。

额外注意点 #

• 确保在权限验证时，使用Spatie的can()方法或中间件，比如auth()->user()->can('payment_methods')只会返回true给拥有该权限的superadmin。
• 权限表新增is_super_only字段需要先执行迁移：

Schema::table('permissions', function (Blueprint $table) {
    $table->boolean('is_super_only')->default(false);
});

内容的提问来源于stack exchange，提问作者wiki