Laravel控制器权限校验方案咨询：逐方法用Gate::check包装是否合理

你当前的手写判断逻辑虽然能正常运行，但属于重复冗余的实现，后续如果要修改权限校验的跳转逻辑、报错提示，需要遍历修改所有控制器方法，维护成本非常高，不符合Laravel的开发规范。可以参考以下几种更合理的实现方案：

1. 路由中间件方案（最推荐） #

Laravel原生提供了can中间件用于权限校验，你不需要在控制器里手写判断逻辑。如果有「满足任意一个权限即可访问」的需求，可以自定义一个中间件：

1. 生成中间件文件

   php artisan make:middleware CheckAnyPermission
   

2. 编写中间件逻辑

   public function handle(Request $request, Closure $next, ...$permissions)
   {
       foreach ($permissions as $permission) {
           if (Gate::check($permission)) {
               return $next($request);
           }
       }
       return redirect(route('home'))->withErrors('You do not have required permission');
   }
   

3. 注册中间件到app/Http/Kernel.php的$routeMiddleware数组

   protected $routeMiddleware = [
       // 其他已有中间件
       'can.any' => \App\Http\Middleware\CheckAnyPermission::class,
   ];
   

4. 直接在路由层绑定权限规则即可，不需要修改控制器代码

   // 原AdminUserController@index对应的路由配置
   Route::get('/admin/users', [AdminUserController::class, 'index'])->middleware('can.any:createUser,readUser,updateUser,deleteUser');
   // 其他单权限路由直接用原生can中间件
   Route::post('/admin/users', [AdminUserController::class, 'store'])->middleware('can:createUser');
   

2. 控制器构造函数统一配置 #

如果整个控制器的所有方法都需要权限校验，可以直接在控制器的构造函数里统一配置，不需要每个路由单独加中间件：

class AdminUserController extends Controller
{
    public function __construct()
    {
        $this->middleware('can.any:createUser,readUser,updateUser,deleteUser')->only('index');
        $this->middleware('can:createUser')->only(['create', 'store']);
        $this->middleware('can:updateUser')->only(['edit', 'update']);
        $this->middleware('can:deleteUser')->only('destroy');
    }

    // 控制器方法里不需要再写权限判断逻辑
    public function index()
    {
        return view('userMgmt/users/index', [
            'users' => User::getUsersWithRolesWithTexts()
        ]);
    }
}

3. 表单请求类校验（适合写入类接口） #

针对store、update这类需要接收表单数据的方法，可以把权限校验逻辑写到表单请求类的authorize方法中：

class StoreUserRequest extends FormRequest
{
    public function authorize()
    {
        return Gate::check('createUser');
    }

    public function rules()
    {
        // 表单校验规则
    }
}

权限校验不通过时会自动返回403响应，你也可以自定义失败后的跳转逻辑。

额外优化建议 #

你当前Gate的逻辑每次调用都会查询用户权限列表，建议给用户权限加缓存（比如存到Session或者Redis中），避免每次请求都查数据库，提升接口性能。如果后续权限逻辑复杂度提升，也可以直接使用成熟的第三方权限包，不需要自己从零实现全链路逻辑。

内容的提问来源于stack exchange，提问作者Marc Wampfler