Laravel Policy自定义未授权提示不生效问题排查

尝试在用户无权限执行删除用户操作时自定义拒绝提示消息，但始终显示默认提示：

Error
Request failed with status code 403

UserPolicy 的 delete 方法代码 #

public function delete(User $user, User $model)
{
    $totalAdmins = User::whereHas('roles', function ($query) {
        $query->where('name', 'administrator');
    })->count();

    // 如果只剩一名管理员，则无法删除该管理员
    if ($totalAdmins === 1 && $model->hasRole('administrator')) {
        return Response::deny('You cannot delete the only administrator.');
    }

    // 管理员无法删除其他管理员
    if ($user->hasRole('administrator') && $model->hasRole('administrator')) {
        return Response::deny('You cannot delete other administrators.');
    }

    // 仅拥有'delete users'权限的用户可删除用户
    if (!$user->hasPermissionTo('delete users')) {
        return Response::deny('You do not have permission to delete users.');
    }

    return Response::allow();
}

尝试过使用 Gate::inspect(...) 方式，仍显示默认提示。

前端 axios 错误处理代码 #

this.$axios.delete(url, {
    headers: {
        'Accept': 'application/json',
    },
}).then(response => {
    /* ... */
}).catch(response => {
    this.$swal.fire({
        title: 'Error',
        text: response.message,
        icon: 'error',
        timer: 3000,
        showConfirmButton: false,
        toast: true,
        timerProgressBar: true,
        hideClass: {
            popup: 'animate__animated animate__fadeOutUp',
        },
        showClass: {
            popup: 'animate__animated animate__fadeInDown',
        },
        position: 'top-end'
    });
});

UserController 的 destroy 方法代码 #

public function destroy($user)
{
    # 将用户ID转为数组
    $users = explode(',', $user);

    foreach($users as $user) {
        # 查询用户
        $user = User::findOrFail($user);

        # 授权验证
        $this->authorize('delete', $user);

        # 删除用户
        $user->delete();
    }

    return response()->json([
        'success' => true,
        'message' => 'User deleted!'
    ]);
}

请问哪里操作错误或遗漏了什么？

问题出在两个核心环节：Laravel 默认异常处理未返回自定义授权消息，以及前端未正确读取错误响应内容。

1. 修改 Laravel 异常处理器，返回自定义授权消息 #

Laravel 默认不会把 Response::deny() 中的自定义消息包含在 403 响应内，需要手动修改异常处理器：

打开 app/Exceptions/Handler.php，更新 render 方法：

use Illuminate\Auth\Access\AuthorizationException;

public function render($request, Throwable $exception)
{
    // 针对JSON请求处理授权异常
    if ($exception instanceof AuthorizationException && $request->expectsJson()) {
        return response()->json([
            'message' => $exception->getMessage() ?: '无权限执行此操作',
        ], 403);
    }

    return parent::render($request, $exception);
}

这段代码会检测授权异常，当请求为JSON类型时，返回包含自定义提示的响应。

2. 修复前端 axios 的错误信息读取逻辑 #

axios 的 catch 回调中，错误对象的消息并非直接存于 response.message，实际后端返回的内容在 error.response.data 中，修改前端代码：

.catch(error => {
    // 优先取后端自定义消息，无则用默认提示
    const errorText = error.response?.data?.message || 'Request failed with status code 403';
    this.$swal.fire({
        title: 'Error',
        text: errorText,
        icon: 'error',
        timer: 3000,
        showConfirmButton: false,
        toast: true,
        timerProgressBar: true,
        hideClass: {
            popup: 'animate__animated animate__fadeOutUp',
        },
        showClass: {
            popup: 'animate__animated animate__fadeInDown',
        },
        position: 'top-end'
    });
});

额外优化：批量删除的异常处理 #

当前控制器循环删除时，单个用户授权失败会直接终止流程。如果需要更友好的批量处理，可以用 Gate::inspect() 手动检查权限，收集错误后统一返回：

public function destroy($user)
{
    $users = explode(',', $user);
    $errors = [];

    foreach($users as $userId) {
        $user = User::findOrFail($userId);
        $gateResult = Gate::inspect('delete', $user);

        if (!$gateResult->allowed()) {
            $errors[] = "用户 {$user->name} 删除失败：{$gateResult->message()}";
            continue;
        }

        $user->delete();
    }

    if (!empty($errors)) {
        return response()->json([
            'success' => false,
            'errors' => $errors
        ], 403);
    }

    return response()->json([
        'success' => true,
        'message' => 'User deleted!'
    ]);
}

内容的提问来源于stack exchange，提问作者Kaizokupuffball