Laravel基于用户角色的数据权限控制实现方案咨询

Hey there! 作为Laravel新手，你碰到的这两个权限场景完全可以用Laravel官方推荐的授权系统来优雅搞定，尤其是Policies（策略）——它能把模型相关的权限逻辑集中管理，比零散的if判断整洁太多了。下面针对你的两个需求分别给出具体实现：

一、文档列表页的角色权限控制 #

1. 创建并注册文档策略 #

首先生成Document模型对应的策略类：

php artisan make:policy DocumentPolicy

然后在app/Providers/AuthServiceProvider.php的$policies数组中注册这个策略：

protected $policies = [
    // 其他策略...
    \App\Models\Document::class => \App\Policies\DocumentPolicy::class,
];

2. 编写列表查看权限逻辑 #

在DocumentPolicy中实现viewAny方法（这个方法专门处理「查看列表」的权限）：

public function viewAny(User $user)
{
    // ADMIN角色直接拥有全量查看权限
    if ($user->hasRole('ADMIN')) {
        return true;
    }
    // USER角色仅允许查看自己的文档，这里返回true是因为后续用全局作用域做数据过滤
    return true;
}

3. 结合全局作用域自动筛选数据 #

为了让控制器代码更简洁，在Document模型中添加全局作用域，自动根据用户角色过滤文档：

// app/Models/Document.php
protected static function booted()
{
    static::addGlobalScope('user_access', function ($query) {
        $user = auth()->user();
        // 如果用户不是ADMIN，只返回当前用户的文档
        if ($user && !$user->hasRole('ADMIN')) {
            $query->where('user_id', $user->id);
        }
    });
}

4. 控制器中授权并返回列表 #

在DocumentsController的index方法里，只需要一行授权代码，剩下的交给全局作用域处理：

public function index()
{
    // 触发权限校验
    $this->authorize('viewAny', Document::class);
    
    // 自动过滤后的文档列表
    $documents = Document::all();
    
    return view('documents.index', compact('documents'));
}

二、Location编辑页的资源归属权限控制 #

1. 创建并注册Location策略 #

生成Location模型的策略类：

php artisan make:policy LocationPolicy

同样在AuthServiceProvider中注册：

protected $policies = [
    // 其他策略...
    \App\Models\Location::class => \App\Policies\LocationPolicy::class,
];

2. 编写编辑权限逻辑 #

在LocationPolicy中实现update方法，校验用户是否有权限编辑该Location：

public function update(User $user, Location $location)
{
    // ADMIN角色拥有所有编辑权限，普通用户只能编辑所属公司的Location
    return $user->hasRole('ADMIN') || $user->company_id === $location->company_id;
}

3. 控制器中授权编辑动作 #

在LocationsController的edit方法里，直接对传入的Location模型实例进行授权：

public function edit(Location $location)
{
    // 自动触发权限校验，无权限会直接返回403
    $this->authorize('update', $location);
    
    return view('locations.edit', compact('location'));
}

额外优化：视图中控制按钮显示 #

你还可以在视图中用@can指令控制编辑按钮的显示，避免用户看到无权限的操作入口：

@can('update', $location)
    <a href="{{ route('location.edit', $location->id) }}" class="btn btn-primary">编辑</a>
@endcan

补充说明 #

假设你的User模型已经实现了hasRole方法（基于多对多的Roles关联），示例代码如下：

// app/Models/User.php
public function roles()
{
    return $this->belongsToMany(Role::class);
}

public function hasRole(string $roleName)
{
    return $this->roles()->where('name', $roleName)->exists();
}

这种方案的优势在于：

• 权限逻辑集中在策略类，便于维护和修改
• 遵循Laravel的设计规范，代码更具可读性
• 支持在控制器、视图、命令行等多个场景复用权限判断

内容的提问来源于stack exchange，提问作者Krystiansen