Laravel 5.8路由安全配置：仅管理员可访问FileController路由

嘿，我来帮你解决这个Laravel 5.8的路由权限问题，同时给你梳理下路由安全的常用实现方法～

你当前的路由组只加了auth中间件，这只会验证用户是否登录，但不会区分普通用户和管理员。下面给你两种最常用的解决方案：

方案1：自定义管理员中间件 #

这是最直观的方式，专门做管理员身份校验：

1. 创建管理员中间件
   执行Artisan命令生成中间件：

   php artisan make:middleware AdminMiddleware
   

2. 编写验证逻辑
   打开app/Http/Middleware/AdminMiddleware.php，修改handle方法：

   public function handle($request, Closure $next)
   {
       // 检查用户是否登录且是管理员（假设admin字段为1表示管理员）
       if (!Auth::check() || Auth::user()->admin != 1) {
           // 普通用户访问的话，返回403无权限页面
           return abort(403, '你没有权限访问该页面');
       }
   
       return $next($request);
   }
   

3. 注册中间件
   打开app/Http/Kernel.php，在$routeMiddleware数组里添加：

   protected $routeMiddleware = [
       // ...其他已有的中间件
       'admin' => \App\Http\Middleware\AdminMiddleware::class,
   ];
   

4. 给FileController路由添加中间件
   修改你的路由代码，给FileController单独加上admin中间件：

   Route::group(['middleware' => ['web','auth']], function(){
       Route::get('/', function () {
           return view('welcome');
       });
       Route::get('/home', function(){
           if (Auth::user()->admin == 0) {
               return view('home');
           } else {
               $users['users'] = \App\User::all();
               return view('layouts.master', $users);
           }
       });
       // 给FileController加上管理员权限校验
       Route::resource('file','FileController')->middleware('admin');
   });
   

方案2：使用Gate做权限校验 #

如果你需要更灵活的权限控制，Laravel的Gate是个不错的选择：

1. 定义Gate规则
   打开app/Providers/AuthServiceProvider.php，在boot方法里添加：

   public function boot()
   {
       $this->registerPolicies();
   
       // 定义admin权限规则
       Gate::define('access-admin', function ($user) {
           return $user->admin == 1;
       });
   }
   

2. 在路由中使用can中间件
   修改FileController的路由，用can中间件绑定刚才定义的Gate：

   Route::resource('file','FileController')->middleware('can:access-admin');
   

除了上面的权限控制，Laravel 5.8还有这些常用的路由安全手段：

• 分层中间件校验：根据路由的敏感程度组合中间件，比如auth（登录校验）+admin（管理员校验）+verified（邮箱验证），确保只有符合条件的用户能访问。
• 路由模型绑定+Policy：对于模型相关的路由，用路由模型绑定自动注入实例，再结合Policy做细粒度权限校验。比如File模型的Policy可以控制某个管理员是否能编辑特定文件。
• 强制HTTPS访问：在app/Providers/AppServiceProvider.php的boot方法里添加URL::forceScheme('https');，确保所有路由都走HTTPS，防止数据明文传输。
• CSRF保护：Laravel的web中间件组默认包含VerifyCsrfToken中间件，确保所有POST/PUT/DELETE请求都携带CSRF令牌，防止跨站请求伪造。
• 请求频率限制：用throttle中间件限制单IP的请求次数，比如Route::resource('file','FileController')->middleware(['admin', 'throttle:10,1'])，表示1分钟内最多请求10次，防止暴力攻击。
• 隐藏敏感路由参数：避免在URL里暴露敏感ID，比如用slug代替数字ID，或者对参数进行加密，防止用户篡改参数访问不属于自己的资源。
• 双重权限校验：即使路由加了中间件，在控制器方法里也要再次校验权限，比如if (!Gate::allows('access-admin')) abort(403);，防止中间件被意外绕过；视图层面也要判断用户权限，不显示管理员操作按钮。

内容的提问来源于stack exchange，提问作者pro