Laravel配置Policy后点击编辑报403，post的user_id为null无法进编辑页

问题本质 #

当你在PostPolicy的edit方法中调试发现传入的Post实例user_id为null时，权限校验必然返回不通过，本质是权限校验流程拿到的Post对象不是从数据库查询出来的、关联了真实用户ID的持久化模型，叠加Blade前端判断和后端校验的传参逻辑不一致，就会出现“前端能看到编辑按钮、点击后返回403”的现象。

分步排查修复 #

• 第一层级：排查基础数据的合法性
  先确认数据库层面的Post记录本身是否存在user_id为空的问题：
  • 直接查询posts表中对应你点击编辑的那条记录的id、user_id字段，确认user_id是否有真实值
  • 如果你是用测试数据触发的问题，检查PostFactory的字段定义是否漏了user_id关联，正确的Factory写法需要明确绑定用户关联：

    // PostFactory 正确的definition实现
    public function definition()
    {
        return [
            'title' => fake()->sentence(),
            'content' => fake()->paragraph(),
            // 必须显式关联User模型，否则生成的测试数据user_id为空
            'user_id' => User::factory(),
        ];
    }
    

• 第二层级：排查路由的模型绑定配置
  这是最容易触发“Policy拿到空Post实例”的核心原因，Laravel的隐式模型绑定要求路由参数名必须和控制器方法的类型提示变量名完全一致，才能自动把路由里的id解析成对应的Post模型实例：
  • 错误的路由写法：

    // 参数名是{id}，和控制器的$post类型提示不匹配，无法触发自动模型绑定
    Route::get('/posts/{id}/edit', [PostController::class, 'edit'])->name('posts.edit');
    

    这种写法下，即使控制器方法写了Post $post的类型提示，Laravel也无法通过路由参数匹配到真实的Post记录，最终会给控制器、给Policy传入一个全新的、没有填充任何属性的空Post对象，这个空对象的user_id自然是null。
  • 正确的路由写法：

    // 路由参数名和控制器的类型提示变量名完全一致，触发自动模型绑定
    Route::get('/posts/{post}/edit', [PostController::class, 'edit'])->name('posts.edit');
    // 如果用了资源路由，默认参数名和模型名一致，无需额外修改：
    // Route::resource('posts', PostController::class);
    

  注意：如果之前修改过资源路由的参数映射，比如把posts的参数从{post}改成了{id}，会直接打破隐式模型绑定，必须改回和模型名一致的参数配置。
• 第三层级：排查控制器的权限校验传参逻辑
  不要在控制器里手动新建空Post实例传给Policy校验，必须使用路由模型绑定自动解析出来的真实Post实例做校验：
  • 错误的控制器写法：

    public function edit()
    {
        // 手动new空Post传给Policy，实例没有任何数据库属性，user_id必然为null
        $this->authorize('edit', new Post());
        return view('posts.edit');
    }
    

  • 正确的控制器写法：

    public function edit(Post $post)
    {
        // 直接把路由绑定拿到的、带真实user_id的Post实例传给Policy校验
        $this->authorize('edit', $post);
        return view('posts.edit', compact('post'));
    }
    

• 第四层级：检查PostPolicy的判断逻辑
  确认Policy的edit方法没有自行实例化空Post对象做判断，直接使用方法参数传入的Post实例做归属校验即可：

  // PostPolicy 正确的edit方法实现
  public function edit(User $user, Post $post)
  {
      // 直接对比登录用户ID和Post的归属用户ID
      return $user->id === $post->user_id;
  }
  

常见认知误区 #

很多开发者只在Blade模板里用@can做前端按钮的显示控制，完全忽略后端的模型绑定和权限校验逻辑：列表页循环出来的Post实例是有真实user_id的，所以Blade的@can判断会正常显示编辑按钮，但跳转到编辑路由时因为模型绑定失效，后端校验时拿到的是空Post实例，就会出现“按钮看得见、点进去403”的诡异现象。

内容的提问来源于stack exchange，提问作者OZzy