在Laravel中能否自定义Passport的scope权限错误为自定义JSON响应？

你现在碰到的默认403 INVALID SCOPE(S) PROVIDED报错，是Passport内置scope中间件的默认抛出结果，校验不通过时请求会直接被中断，根本不会进入你定义的控制器方法。
这也是为什么你在BooksController里写的tokenCan判断逻辑完全没生效的原因：请求还没走到控制器代码，就已经被中间件拦截抛出默认错误了。

1. 在异常处理器中重写对应异常的响应规则 #

Laravel所有异常的渲染逻辑都统一由app/Exceptions/Handler.php管控，找到该文件的register方法，添加针对Passport scope异常的自定义拦截逻辑：
首先引入需要处理的异常类：

use Laravel\Passport\Exceptions\MissingScopeException;

然后在register方法内追加渲染规则：

$this->renderable(function (MissingScopeException $e, $request) {
    // 仅对API请求返回自定义JSON格式，不影响Web端的默认错误页展示
    if ($request->is('api/*') || $request->expectsJson()) {
        return response()->json([
            'success' => false,
            'error' => '当前账号没有访问该接口的对应权限'
        ], 403);
    }
});

配置完成后，只要用户没有对应scope访问路由，就会返回你自定义的JSON结构，不再显示默认的Passport错误页面。

2. 清理控制器内的冗余校验逻辑 #

因为路由层已经通过scope中间件完成了统一的token权限校验，能正常进入控制器方法的请求，必然已经通过了对应scope的校验，所以你控制器里手写的tokenCan判断属于重复校验，可以直接移除，简化业务代码。
调整后的destroy控制器方法示例：

public function destroy($id)
{
    // 进入此方法即代表已通过认证和scope权限校验，直接执行业务逻辑即可
    return response()->json(['success' => "Destroy reached"], 200);
}

3. （可选）统一API错误响应格式 #

如果项目需要对所有API类异常做统一的格式封装，可以在同一个renderable逻辑块内，拦截其他常见的权限相关异常，保证所有接口返回的错误结构完全一致，避免格式混乱：

$this->renderable(function ($e, $request) {
    if ($request->is('api/*') || $request->expectsJson()) {
        // 处理Passport scope不足异常
        if ($e instanceof MissingScopeException) {
            return response()->json([
                'success' => false,
                'error' => '权限不足',
                'message' => '访问该接口需要的权限范围未在当前token中授权',
                'required_scopes' => $e->getScopes()
            ], 403);
        }
        // 处理通用的403禁止访问异常
        if ($e instanceof \Symfony\Component\HttpKernel\Exception\AccessDeniedHttpException) {
            return response()->json([
                'success' => false,
                'error' => '权限不足',
                'message' => '你没有访问当前资源的权限'
            ], 403);
        }
    }
});

内容的提问来源于stack exchange，提问作者Gabriel_costa