Laravel Policy创建返回201但更新返回403权限异常问题排查

核心原因：路由参数名与授权声明的参数名不匹配 #

• Laravel 使用 Route::apiResource('project-page') 生成路由时，会自动将连字符格式的资源名转换为蛇形命名的路由参数，最终生成的更新路由参数为 project_page。
• 你在控制器构造方法中调用 $this->authorizeResource(ProjectPage::class, 'project-page') 时，第二个参数指定的参数名是 project-page，和实际路由参数名 project_page 不匹配，导致授权中间件无法正确获取到路由中的 ProjectPage 模型实例，update 方法的授权校验因为缺少模型实例直接返回 403。
• 存储接口正常的原因是：store 方法对应的 create Policy 规则不需要传入模型实例，仅校验用户身份，所以不受参数名不匹配的影响，校验可以正常通过。

其他可排查方向 #

• 确认 App\Providers\AuthServiceProvider 中已经正确注册 ProjectPage 模型和 ProjectPagePolicy 的映射关系，映射错误也可能导致更新授权异常（存储接口正常的情况下该概率较低）。
• 可临时在 update 方法开头加入调试代码确认用户身份判断逻辑是否符合预期，排除 isAdmin()、isDeveloper() 方法的异常。

修改控制器构造方法中的 authorizeResource 第二个参数，和路由参数名保持一致即可：

$this->authorizeResource(ProjectPage::class, 'project_page');

如果希望保持控制器方法参数名为驼峰格式，也可以直接在路由定义时指定参数名，避免自动转换的问题：

Route::apiResource('project-page', ProjectPageController::class)->parameter('project-page', 'projectPage');

内容的提问来源于stack exchange，提问作者GPiter