Laravel自定义Policy方法权限校验始终返回403问题排查

在Laravel项目中定义文章预览路由、控制器方法与对应权限策略，重写resourceAbilityMap完成能力映射后，在控制器方法中调用$this->authorize()做权限校验，但无论PostPolicy的viewPreview方法返回true还是false，请求始终返回403状态码。

路由定义 #

Route::get('/post/preview/{slug}', [PostController::class, 'viewPreview'])->name('post.single.preview');

PostController 代码 #

protected function resourceAbilityMap()
{
    return array_merge(parent::resourceAbilityMap(), [
        'viewPreview' => 'viewPreview'
    ]);
}

public function viewPreview($slug)
{
    $post = Post::where('slug', $slug)->firstOrFail();

    $this->authorize('viewPreview', $post);

    return view('post.single', [
        'post' => $post,
        'morePosts' => $this->getMorePosts($post->id, 3),
    ]);
}

PostPolicy 代码 #

public function viewPreview(User $user, Post $post)
{
    return true;
}

你遇到的403问题和resourceAbilityMap配置无关，这个映射仅在控制器调用authorizeResource()做资源路由批量授权时才会生效，手动调用$this->authorize()是直接指定权限名，不会走这个映射逻辑。
始终返回403是以下两个常见疏漏导致，按优先级排查修复即可：

• 未正确注册Policy绑定：默认情况下Laravel不会自动关联模型和策略，你需要在app/Providers/AuthServiceProvider.php的$policies属性中显式绑定Post模型和PostPolicy，否则授权校验找不到对应策略会直接返回403：

  protected $policies = [
      Post::class => PostPolicy::class,
  ];
  

  如果你开启了策略自动发现功能，请确认Post模型存放在app/Models目录、PostPolicy存放在app/Policies目录且命名符合PSR规范，否则自动发现不会生效。
• Policy方法不兼容游客访问场景：如果预览路由允许未登录用户访问，当前Policy的方法签名存在问题：User $user是必填参数，游客发起请求时不存在已登录用户实例，Laravel会判定该方法不匹配当前授权场景，直接返回403，根本不会执行方法内的return true逻辑。需要将用户参数修改为可选参数：

  public function viewPreview(?User $user, Post $post)
  {
      return true;
  }
  

修改完成后执行php artisan config:clear清除配置缓存即可正常生效。

内容的提问来源于stack exchange，提问作者eskimo