Laravel 8数据验证、路由保护与权限授权相关问题咨询

1. 表单验证Request接入Controller #

你已经完成了验证规则的定义，只需要两步即可接入控制器：

1. 确保你创建的自定义请求类继承自Illuminate\Foundation\Http\FormRequest，示例如下：

// app/Http/Requests/StoreEventRequest.php
namespace App\Http\Requests;

use Illuminate\Foundation\Http\FormRequest;

class StoreEventRequest extends FormRequest
{
    public function authorize()
    {
        // 后续可补充权限判断逻辑，当前先返回true
        return true;
    }

    public function rules()
    {
        return [
            'name' => 'required|max:50',
            'description' => 'required|max:100',
            'address' => 'required|max:63',
            'date_of_event' =>'required',
            'photo_patch' =>'required|file',
            'club_id' =>'required',
        ];
    }
}

2. 将控制器create方法的参数类型提示从默认的Request替换为你创建的自定义请求类，Laravel会自动触发验证，验证不通过时会直接返回错误响应，不会执行后续的SQL逻辑：

// 控制器顶部引入自定义请求类
use App\Http\Requests\StoreEventRequest;

public function create(StoreEventRequest $request)
{
    $id = Auth::id();
    // 建议通过validated方法取验证后的参数，避免意外拿到未验证的参数
    $validated = $request->validated();
    $event = new Event;
    $event->name = $validated['name'];
    $event->description = $validated['description'];
    $event->address = $validated['address'];
    $event->date_of_event = $validated['date_of_event'];
    $event->displayed = 0;
    $event->photo_patch = $validated['photo_patch']->store('images','public');
    $event->club_id = $validated['club_id'];
    $event->user_id = $id;
    $event->save();

    return redirect('events');
}

2. Gate调用错误及权限方案优化 #

报错的原因是Gate::authorize方法验证不通过时会直接抛出403异常，不会走else分支，你当前的判断逻辑应该使用Gate::check方法，返回布尔值适配你的分支逻辑：

use Illuminate\Support\Facades\Gate;

public function index()
{
    $id = Auth::id();
    if (Gate::check('admin-level')){
        $events = Event::get();
    }
    else{
        $events = Event::where('user_id',$id)->get();
    }  
    return view('backend/event/index', ['events' => $events]);
}

如果你的权限判断仅依赖用户表的admin布尔字段，更简便的方案是直接读取当前登录用户的属性判断，不需要额外定义Gate：

if (Auth::user()->admin) {
    // 管理员逻辑
}

3. 越权操作防护 #

该场景使用Laravel的*模型策略（Policy）*即可实现全自动的权限校验，步骤如下：

1. 生成对应模型的策略文件，以Event模型为例：

php artisan make:policy EventPolicy --model=Event

2. 在app/Providers/AuthServiceProvider.php中注册策略，让Laravel知道模型对应的策略类：

protected $policies = [
    Event::class => EventPolicy::class,
];

3. 在策略文件中定义权限判断逻辑：

// app/Policies/EventPolicy.php
public function update(User $user, Event $event)
{
    // 管理员可以操作所有内容，普通用户仅能操作自己创建的内容
    return $user->admin || $user->id === $event->user_id;
}

public function view(User $user, Event $event)
{
    return $user->admin || $user->id === $event->user_id;
}

4. 在控制器对应方法中调用授权校验，或者直接在路由中加中间件校验：

// 控制器编辑方法示例
public function edit(Event $event)
{
    $this->authorize('update', $event);
    // 后续业务逻辑
}

// 路由中间件校验示例
Route::get('/events/{event}/edit', [EventController::class, 'edit'])->middleware('can:update,event');

配置完成后，用户修改URL中的ID尝试访问不属于自己的资源时，会直接返回403错误，俱乐部类的越权防护可以按照相同逻辑配置Club的策略即可。

4. 路由保护优化 #

当前的auth中间件是基础的登录状态校验，可叠加以下方案实现更细粒度的路由保护：

1. 管理员路由单独分组，叠加权限中间件统一校验，避免在每个控制器中重复写判断逻辑：

Route::middleware(['auth', 'can:admin-level'])->group(function () {
    // 仅管理员可访问的路由全部放在该分组内
    Route::get('/admin/events', [EventController::class, 'adminIndex']);
});

2. 资源路由可批量绑定策略校验：

// 自动对资源路由的对应方法执行策略校验
Route::resource('events', EventController::class)
    ->middleware('auth')
    ->middleware('can:view,event')
    ->only(['show', 'edit', 'update']);

3. 前后台路由分开分组，后台路由统一加auth和管理员权限校验，结构更清晰，不容易遗漏权限校验。

内容的提问来源于stack exchange，提问作者MichalGrab