Laravel中安全验证新增对象group_id的最佳方案（含Policy）

方案1：在请求类中自动填充并验证group_id（最优雅） #

直接移除前端的隐藏group_id字段，在自定义请求类StoreObjektRequest中自动注入当前登录用户的group_id，同时验证其合法性：

1. 修改请求类的prepareForValidation方法，提前合并用户的group_id到请求数据：

protected function prepareForValidation()
{
    $this->merge([
        'group_id' => auth()->user()->group_id,
    ]);
}

2. 调整验证规则，确保group_id只能是当前用户的有效值：

public function rules()
{
    return [
        'name' => 'required|max:5',
        'strasse' => 'required',
        'hausnummer' => 'required',
        'plz' => 'required',
        'ort' => 'required',
        'group_id' => 'required|integer|in:' . auth()->user()->group_id,
    ];
}

这样前端无需传递group_id，请求类自动填充并验证，彻底杜绝篡改风险。

方案2：在Store方法中手动覆盖group_id #

如果不想修改请求类，可直接在控制器的store方法中忽略前端传递的group_id，强制使用当前用户的group_id：

1. 调整StoreObjektRequest的验证规则，移除group_id的required约束（或设为nullable）：

public function rules()
{
    return [
        'name' => 'required|max:5',
        'strasse' => 'required',
        'hausnummer' => 'required',
        'plz' => 'required',
        'ort' => 'required',
        'group_id' => 'nullable|integer', // 允许前端不传，或传了也忽略
    ];
}

2. 在store方法中覆盖验证后的group_id值：

public function store(StoreObjektRequest $request)
{
    $this->authorize('create', Objekt::class);
    
    $validatedData = $request->validated();
    // 强制设置为当前用户的group_id，无视前端传递的值
    $validatedData['group_id'] = auth()->user()->group_id;
    
    Objekt::create($validatedData);
    
    return redirect()->route('dashboard')->with('message', 'Objekt erfolgreich erstellt');
}

结合Policy的优化 #

你的ObjektPolicy的create方法当前返回true，可以扩展它来控制用户的创建权限（比如仅允许特定组的用户创建）：

public function create(User $user)
{
    // 示例：仅允许group_id为1的用户创建对象，根据业务逻辑调整
    return $user->group_id === 1;
}

结合上述方案使用时，authorize方法会先验证用户是否有创建权限，再由后端控制group_id的赋值，形成完整的权限+数据合法性校验。

内容的提问来源于stack exchange，提问作者JrWebDev