如何使用Laravel和jwt-auth保护API路由免受非管理员用户访问

嘿，别担心格式问题呀～刚接触Laravel和Stack Overflow很正常，有问题尽管提就好！针对你说的要让仅管理员用户才能访问已用JWT保护的API路由，我给你整理了几个实用的方案：

方案一：自定义管理员验证中间件（最灵活通用） #

这是最常用的方式，通过自定义中间件来校验用户的管理员身份：

1. 先创建中间件文件：

php artisan make:middleware AdminMiddleware

2. 打开生成的app/Http/Middleware/AdminMiddleware.php，写入验证逻辑（假设你的User模型有is_admin布尔字段标识管理员）：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

class AdminMiddleware
{
    public function handle(Request $request, Closure $next): Response
    {
        // 通过JWT获取当前登录用户
        $user = auth()->user();
        
        // 校验用户是否存在且是管理员
        if (!$user || !$user->is_admin) {
            return response()->json(['message' => '无管理员访问权限'], 403);
        }
        
        return $next($request);
    }
}

3. 注册中间件：打开app/Http/Kernel.php，在$routeMiddleware数组里添加：

'admin' => \App\Http\Middleware\AdminMiddleware::class,

4. 把这个中间件和jwt.auth一起绑定到路由组：

Route::group(['middleware' => ['jwt.auth', 'admin']], function() {
    Route::get('books', 'BookController@index');
    // 其他需要管理员权限的路由...
});

方案二：JWT自定义声明（减少数据库查询） #

如果想把管理员权限信息直接存在JWT令牌里，避免每次校验都查数据库，可以这么做：

1. 在登录逻辑里，生成令牌时添加自定义声明：

public function login(Request $request)
{
    $credentials = $request->only('email', 'password');
    
    if (!$token = auth()->attempt($credentials)) {
        return response()->json(['error' => '登录失败'], 401);
    }
    
    $user = auth()->user();
    // 把管理员标识加入JWT声明
    $customClaims = ['is_admin' => $user->is_admin];
    
    // 生成带自定义声明的令牌
    $token = auth()->claims($customClaims)->attempt($credentials);
    
    return $this->respondWithToken($token);
}

2. 修改之前的AdminMiddleware，直接从令牌里读取权限信息：

public function handle(Request $request, Closure $next): Response
{
    // 从JWT payload中获取管理员声明
    $isAdmin = auth()->payload()->get('is_admin');
    
    if (!$isAdmin) {
        return response()->json(['message' => '无管理员访问权限'], 403);
    }
    
    return $next($request);
}

这个方案适合高并发场景，能减少数据库查询开销。

方案三：Laravel策略（细粒度权限控制） #

如果之后需要对不同模型（比如Book）做更细的权限划分（比如管理员能删书，普通用户只能看），可以用Laravel的策略：

1. 创建Book模型的策略文件：

php artisan make:policy BookPolicy --model=Book

2. 在app/Policies/BookPolicy.php里写权限逻辑：

<?php

namespace App\Policies;

use App\Models\Book;
use App\Models\User;

class BookPolicy
{
    // 控制查看所有书籍的权限
    public function viewAny(User $user): bool
    {
        return $user->is_admin;
    }

    // 其他如创建、修改、删除书籍的权限同理
    public function create(User $user): bool
    {
        return $user->is_admin;
    }
}

3. 在app/Providers/AuthServiceProvider.php里注册策略：

protected $policies = [
    Book::class => BookPolicy::class,
];

4. 在控制器里调用验证：

public function index()
{
    // 验证当前用户是否有查看所有书籍的权限
    $this->authorize('viewAny', Book::class);
    return Book::all();
}

这种方式扩展性极强，适合权限逻辑复杂的项目。

最后提醒下：不管用哪种方案，都要确保你的User模型里有标识管理员的字段（比如is_admin），并且在创建用户时正确设置该字段的值哦～

内容的提问来源于stack exchange，提问作者Matthew Dejager