Laravel调用Policy授权始终返回意外403错误问题排查

你遇到的无论Policy逻辑怎么写都返回403的问题，核心原因是框架根本没有执行到你定义的UserPolicy逻辑，常见触发场景按概率排序如下：

• 未正确注册UserPolicy和User模型的映射，且不符合框架自动发现Policy的约定
  Laravel自动关联Policy需要满足固定命名规则：模型存放在app/Models目录、对应Policy存放在app/Policies目录，Policy命名为「模型类名+Policy」，比如App\Models\User对应App\Policies\UserPolicy。如果你的目录结构、命名空间不符合这个规则，又没有手动注册映射，框架找不到对应Policy，会直接返回403。
• 对应路由没有挂载auth中间件
  如果访问接口时用户身份未被认证，授权系统拿不到当前登录用户实例，会直接判定无权限返回403。
• 模型命名空间不匹配
  部分从老版本升级的Laravel项目，User模型的命名空间是App\User而非默认的App\Models\User，如果注册Policy、传参时用错了类名，会导致映射失效。
• 存在全局授权拦截逻辑
  如果AuthServiceProvider中定义了Gate::before全局回调，且回调逻辑错误返回了false，会直接拦截所有授权校验，不会执行后续的Policy代码。

1. 手动注册Policy映射
   打开app/Providers/AuthServiceProvider.php，在$policies属性中添加User模型和UserPolicy的绑定，注意类名要和你项目里的实际命名空间完全一致：

   protected $policies = [
       \App\Models\User::class => \App\Policies\UserPolicy::class,
   ];
   

   注册完成后执行命令清除配置缓存，避免旧缓存导致注册不生效：

   php artisan config:clear
   

2. 确认路由挂载了auth中间件
   检查routes/web.php中的路由定义，确保账户相关路由放在auth中间件组下：

   Route::middleware('auth')->group(function () {
       Route::get('/account', [IndexController::class, 'index']);
       Route::post('/account/update', [IndexController::class, 'update']);
   });
   

3. 校验逻辑验证
   你原来控制器和Policy里的业务逻辑本身没有问题，不需要修改：

   // 控制器授权写法
   public function update()
   {
       $this->authorize('update', auth()->user());
       return view('account.settings');
   }
   
   // Policy权限判断
   public function update(User $user, User $model)
   {
       return $user->id === $model->id;
   }
   

排查技巧：如果按上述步骤修改后仍然返回403，可以在Policy对应方法开头加dd('Policy已执行')，如果访问页面没有打印这段文字，说明还是映射/中间件环节有问题；如果能正常打印，再检查方法内的判断逻辑即可。

内容的提问来源于stack exchange，提问作者eskimo