大型Laravel项目使用异常做权限管理，有没有更优解决方案？

推荐的优化方案 #

1. 用路由中间件做全局权限校验（优先级最高） #

权限校验属于典型的横切关注点，完全不应该散落在每个Controller方法中，你可以直接复用框架自带的can中间件，或者自定义专属权限中间件：

• 路由定义时直接绑定权限规则，无需在Controller写任何校验代码：

Route::post('/mymodel/store', [MyModelController::class, 'store'])
    ->middleware('can:someActionName,args');

• 如果你的权限规则需要动态从路由/请求中读取参数，可以自定义全局中间件，在中间件中统一读取当前路由对应的权限标识，调用Gate::inspect校验，不通过直接抛出你定义的PermissionDeniedException即可。350个Controller方法的权限校验可以一次性完成，不需要逐行编写调用代码。

2. 基于FormRequest做权限校验 #

如果部分权限校验需要依赖请求参数（比如当前请求提交的模型数据），可以把校验逻辑放在Laravel表单请求类的authorize方法中：

class StoreMyModelRequest extends FormRequest
{
    public function authorize()
    {
        return Gate::check('someActionName', $this->route('mymodel'));
    }
}

只要在Controller方法中注入该表单请求类，Laravel会自动执行权限校验，不通过会直接抛出授权异常，不需要你手动调用任何校验函数。

3. 不推荐使用__call魔术方法的原因 #

这种方案会彻底丧失IDE代码提示、路由绑定、反射调用的支持，后期排查问题、新增功能的成本会指数级上升，完全是为了省一点重复代码牺牲整个项目的可维护性，得不偿失。

现有方案的可优化点 #

你当前封装的checkUserAccess辅助函数完全可以替换为Laravel原生的Gate::authorize方法，原生方法在校验不通过时会自动抛出Illuminate\Auth\Access\AuthorizationException，你只需要在项目的异常处理器（App\Exceptions\Handler）中注册该异常的响应逻辑，就能达到和你自定义异常完全一致的效果，不需要自己维护异常抛出逻辑。

关于复杂度的问题 #

这类横切逻辑的重复问题不是项目复杂度升高后的必然结果，反而正是复杂度上升时更要优先做分层解耦的场景：把权限、日志、限流这类和业务逻辑无关的通用逻辑抽离到中间件、请求类这类独立层级，和业务逻辑完全解耦，就不会出现散落在数百个方法中难以维护的问题。

内容的提问来源于stack exchange，提问作者Johansson