Laravel Backpack权限管控问题：如何限制仅Admin角色访问指定路由

你只通过@role隐藏侧边栏菜单是不够的——这只是前端视觉层面的限制，用户依然可以通过直接输入路由访问后台页面。要彻底限制访问，必须在后端路由或控制器层面添加权限验证，以下是两种常用的落地方案：

方案一：路由组添加角色中间件 #

找到Backpack对应的路由文件（通常是routes/backpack/custom.php），将需要Admin角色访问的路由包裹在带有role:Admin中间件的分组里：

// 仅允许Admin角色访问用户、角色、权限管理路由
Route::group(['middleware' => ['role:Admin']], function () {
    CRUD::resource('user', 'UserCrudController');
    CRUD::resource('role', 'RoleCrudController');
    CRUD::resource('permission', 'PermissionCrudController');
});

这样所有匹配该组的路由都会先验证当前用户是否拥有Admin角色，无权限用户会直接被拦截跳转。

方案二：在CRUD控制器中控制权限 #

如果不想修改路由结构，也可以直接在对应的CRUD控制器内做权限限制，以UserCrudController为例：

方法A：构造函数绑定中间件 #

在控制器的构造函数中加入角色验证中间件：

public function __construct()
{
    parent::__construct();
    // 强制验证Admin角色
    $this->middleware('role:Admin');
}

方法B：利用Backpack CRUD权限方法 #

在控制器的setup()方法中，先默认拒绝所有操作权限，再给Admin角色开放对应权限：

public function setup()
{
    parent::setup();
    
    // 默认拒绝所有操作
    $this->crud->denyAccess(['list', 'create', 'update', 'delete']);
    
    // 仅给Admin角色开放权限
    if (backpack_user()->hasRole('Admin')) {
        $this->crud->allowAccess(['list', 'create', 'update', 'delete']);
    }
}

额外提示 #

• 前端菜单隐藏是体验优化，后端权限校验才是安全核心，两者结合使用才能彻底控制访问。
• 如果需要更细粒度的权限控制（比如允许某角色仅查看用户但不能编辑），可以用Backpack PermissionManager提供的permission中间件，例如middleware('permission:edit users')，配合给角色分配具体权限即可。

内容的提问来源于stack exchange，提问作者Mattew