Laravel 8/9隐式绑定can授权中间件底层工作原理解析

核心概念先明确 #

• $gate：Laravel框架内置的权限校验服务实例，可以理解为全局统一的权限裁判，所有框架层面的权限判断（包括手动调用Gate::allows、控制器里的$this->authorize、还有这个can中间件）最终都由它执行规则。
• $ability：对应中间件参数里声明的「要校验的操作名」，你配置的can:update,entity中，冒号后第一个值update就是传入的$ability。

你的路由场景下的完整执行流程 #

首先要先明确一个框架执行顺序前提：路由参数的隐式模型绑定（也就是路由定义里{entity}自动根据URL参数查询对应Eloquent模型实例的逻辑），会在所有路由中间件执行前完成，这也是后续所有中间件能直接拿到实体对象的基础。

整个can中间件的执行分3步：

1. 中间件参数解析
   框架解析can:update,entity配置时，会把冒号后的内容按逗号拆分：第一个字符串update作为操作名传入handle方法的$ability参数，后续的entity会被收集到可变参数$models数组中，此时$models值为['entity']。
2. 拉取授权校验用的目标对象
   中间件调用getGateArguments方法处理传入的模型标识：
   • 先判断传入的entity是不是带命名空间的完整类名（即判断字符串里是否包含\，比如App\Models\Entity::class这类格式），你这里传的是路由参数短名，不走类名分支
   • 直接从当前路由的绑定参数中查找键名为entity的值，也就是调用$request->route('entity')，拿到的就是隐式绑定已经查询完成的Entity模型实例（对应URL中传入ID的那条数据库记录）。
3. 执行权限校验
   拿到操作名和目标模型实例后，中间件直接调用$this->gate->authorize('update', $entity)触发校验，Gate内部逻辑为：
   • 获取当前已登录的用户实例（前置的auth中间件已经保证该实例存在）
   • 根据模型类名按约定匹配对应的Policy类（比如Entity模型对应App\Policies\EntityPolicy）
   • 调用Policy类中名为update的方法，将当前用户、实体实例作为参数传入，执行你自己编写的权限判断逻辑
   • 若Policy返回true则校验通过，继续执行后续逻辑进入控制器；若返回false则直接抛出403授权异常，终止后续请求处理。

补充说明 #

• 如果can中间件传入的是带命名空间的完整类名（比如can:create,App\Models\Entity），Gate会走无实例的校验逻辑，一般用于创建类等不需要传入已有实体ID的路由，校验当前用户是否有对应类型资源的操作权限。
• 你当前路由里的中间件执行顺序和配置顺序一致：先校验登录、再校验邮箱验证、再通过a.b.c校验实体存在且可修改，最后才走can权限校验，不会出现拿不到有效模型实例的问题。

内容的提问来源于stack exchange，提问作者Ailete619