如何使用Laravel为网站设置用户授权，实现差异化功能访问控制？

Laravel 原生授权体系完全可以实现该需求，无需引入额外第三方扩展，具体实现流程如下：

1. 数据结构准备 #

首先你需要存储功能权限和用户的权限关联关系，需要新建2张表：

• 权限表 permissions：存储所有站点功能的唯一标识和基础信息，字段参考：id、name（功能唯一标识，如function_1）、display_name（功能展示名称）、description（功能描述）
• 用户权限关联中间表 permission_user：存储用户拥有的可使用权限关联，字段参考：permission_id、user_id

给User模型添加权限的多对多关联：

// app/Models/User.php
public function permissions()
{
    return $this->belongsToMany(Permission::class);
}

2. 定义全局授权规则 #

在 app/Providers/AuthServiceProvider.php 的 boot 方法中定义授权Gate：

use App\Models\User;
use Illuminate\Support\Facades\Gate;

public function boot()
{
    $this->registerPolicies();

    // 定义「使用功能」的授权判断规则
    Gate::define('use-function', function (User $user, string $functionKey) {
        return $user->permissions()->where('name', $functionKey)->exists();
    });
}

3. 视图层控制交互入口 #

按照需求所有用户都可以看到功能入口，仅限制使用权限，所以所有功能模块正常渲染，仅对使用按钮做权限判断即可：

{{-- 遍历渲染所有功能 --}}
@foreach($allFunctions as $function)
<div class="function-card">
    <h4>{{ $function->display_name }}</h4>
    <p>{{ $function->description }}</p>
    @can('use-function', $function->name)
        <a href="{{ route('function.use', $function->name) }}" class="btn primary">进入使用</a>
    @else
        <button class="btn disabled" disabled>未授权无法使用</button>
    @endcan
</div>
@endforeach

4. 后端做权限拦截防止绕过 #

前端判断仅做交互优化，必须在后端加权限校验，避免用户直接输入URL绕过限制：

路由层校验示例 #

Route::get('/function/{functionKey}', [FunctionController::class, 'use'])
    ->name('function.use')
    ->middleware('can:use-function,functionKey');

控制器层校验示例 #

public function use(string $functionKey)
{
    $this->authorize('use-function', $functionKey);
    // 正常执行业务逻辑
}

适配示例场景 #

• 给用户A的permission_user关联表中仅插入function_1、function_2的权限关联：用户A可看到全部5个功能，仅功能1、2可正常访问
• 给用户B的permission_user关联表中插入全部5个功能的权限关联：用户B可查看并使用所有功能

如果后续需要扩展角色体系（按角色批量分配权限），仅需修改Gate的判断逻辑，上层校验代码无需改动。

内容的提问来源于stack exchange，提问作者randomman