Laravel路由权限控制：仅允许同名用户访问对应个人资料页

嘿，这个需求其实挺常见的，咱们可以通过几种方式来实现，既保证安全又符合Laravel的最佳实践。

方法一：直接在控制器中处理 #

既然你已经定义了AccountController@index方法，咱们直接在这个方法里添加权限校验逻辑就好：

namespace App\Http\Controllers;

use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;

class AccountController extends Controller
{
    public function index($name)
    {
        // 先确保用户已登录（如果路由没加auth中间件的话，建议加上）
        if (!Auth::check()) {
            return redirect()->route('login');
        }

        // 对比URL中的{name}参数与当前登录用户的用户名
        if ($name !== Auth::user()->name) {
            // 两种处理方式选其一：
            // 1. 返回403无权限页面（推荐，更符合HTTP规范）
            abort(403, '您无权访问此用户的个人资料');
            // 2. 重定向到当前用户自己的资料页
            // return redirect()->route('user.profile', ['name' => Auth::user()->name]);
        }

        // 权限校验通过，加载个人资料逻辑
        $user = Auth::user(); // 因为已匹配，直接用当前登录用户即可
        return view('user.profile', compact('user'));
    }
}

别忘了给路由加上auth中间件，确保只有登录用户能访问这个页面：

Route::get('/User-Profile/{name}/', 'AccountController@index')->middleware('auth')->name('user.profile');

方法二：使用自定义中间件（推荐，可复用） #

如果之后还有其他类似的权限校验需求，自定义中间件会更优雅，也方便复用：

1. 创建中间件：
   运行Artisan命令生成中间件：

php artisan make:middleware ProfileAccessMiddleware

2. 编写中间件逻辑：
   打开app/Http/Middleware/ProfileAccessMiddleware.php，修改handle方法：

namespace App\Http\Middleware;

use Closure;
use Illuminate\Support\Facades\Auth;

class ProfileAccessMiddleware
{
    public function handle($request, Closure $next)
    {
        $urlUsername = $request->route('name');
        $currentUser = Auth::user();

        if ($urlUsername !== $currentUser->name) {
            abort(403, '您无权访问此页面');
        }

        return $next($request);
    }
}

3. 注册中间件：
   打开app/Http/Kernel.php，在$routeMiddleware数组中添加中间件别名：

protected $routeMiddleware = [
    // ...其他中间件
    'profile.access' => \App\Http\Middleware\ProfileAccessMiddleware::class,
];

4. 给路由绑定中间件：
   现在可以给你的个人资料路由同时加上auth和自定义中间件：

Route::get('/User-Profile/{name}/', 'AccountController@index')
    ->middleware(['auth', 'profile.access'])
    ->name('user.profile');

优化建议：路由命名与参数校验 #

• 使用路由命名生成链接：
  你的Blade链接可以改成用路由命名生成，这样以后如果路由URL修改，不用手动改所有Blade文件：

<a href="{{ route('user.profile', ['name' => Auth::user()->name]) }}">{{ Auth::user()->name }}</a>

• 限制路由参数格式：
  为了防止恶意的URL参数，你可以给路由参数添加正则校验，比如限制用户名只能包含字母、数字、下划线和短横线：

Route::get('/User-Profile/{name}/', 'AccountController@index')
    ->middleware(['auth', 'profile.access'])
    ->name('user.profile')
    ->where('name', '[A-Za-z0-9-_]+');

内容的提问来源于stack exchange，提问作者Kiruaaa