Laravel开发为何选FormRequest授权而非控制器调用Policies/Gates？

答案是肯定存在，以下是开发中优先选择FormRequest做授权的典型场景：

• 授权逻辑依赖提交的表单参数
  比如业务要求普通用户只能发布公开可见的文章，VIP用户才能发布付费/私密内容。这类授权判断需要读取表单提交的visibility字段值，在FormRequest的authorize()方法中可以直接通过$this->get('visibility')获取参数，不需要把参数从Request层传递到控制器的授权方法中，逻辑更内聚。同时避免了先做授权再验证参数合法性导致的无效授权计算。
• 同类型请求复用授权逻辑
  比如文章的「发布新文章」「保存草稿」两个接口使用同一个BlogPostRequest做参数验证，将授权逻辑写在FormRequest中，两个控制器方法会自动共用同一套授权规则，不需要每个方法单独调用$this->authorize()，既减少了重复代码，也避免了漏写授权带来的安全风险。
• 高开销验证接口的权限前置拦截
  FormRequest的执行逻辑是先跑authorize()授权，再跑rules()做参数验证。如果遇到批量导入、大表单提交这类验证规则非常多、计算开销大的接口，把授权写在FormRequest中可以直接拦截无权限的请求，不会浪费服务器资源执行后续的复杂验证逻辑，高并发场景下的性能收益非常明显。

两种授权方案没有绝对的优劣之分，你目前把CRUD/非CRUD授权写在控制器的习惯完全合理，只需要根据实际业务场景选择更适配的方案即可。

内容的提问来源于stack exchange，提问作者Kárpáti András