Laravel阻止用户访问其他企业资源的权限控制方案问询

嘿，这个场景我太熟悉了！要阻止用户篡改URL里的companyID访问其他公司资源，用Laravel的Gate就能完美解决，而且完全可以在AuthServiceProvider的boot方法里完成配置，不用额外写Policy（当然写Policy也可行，但Gate更直接适配你的需求）。

步骤1：在AuthServiceProvider中定义Gate规则 #

打开app/Providers/AuthServiceProvider.php，在boot方法里注册一个自定义的Gate，用来验证当前登录用户是否有权访问传入的companyID：

use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Gate;

public function boot()
{
    $this->registerPolicies();

    // 定义"访问公司资源"的权限规则
    Gate::define('access-company', function ($user, $companyID) {
        // 核心逻辑：用户已登录 + 用户所属公司ID与URL中的companyID匹配
        return Auth::check() && $user->company_id == $companyID;
    });
}

注意：如果你的用户模型中关联公司的字段不是company_id，记得改成你实际的字段名（比如company_id改成current_company_id）。

步骤2：在控制器中使用Gate验证权限 #

接下来在你的控制器index方法里，调用Gate的authorize方法进行权限校验——如果校验不通过，Laravel会自动抛出403 Forbidden异常，阻止用户访问：

use Illuminate\Support\Facades\Gate;

public function index($companyID)
{
    // 自动校验权限，不通过直接返回403
    Gate::authorize('access-company', $companyID);

    // 下面是你的业务逻辑代码
    $company = \App\Models\Company::findOrFail($companyID);
    // ... 其他操作
}

可选：支持超级管理员访问所有公司 #

如果你的系统有超级管理员角色需要访问所有公司资源，可以在Gate规则里加个判断：

Gate::define('access-company', function ($user, $companyID) {
    // 超级管理员直接放行
    if ($user->is_super_admin) {
        return true;
    }
    // 普通用户校验公司ID匹配
    return Auth::check() && $user->company_id == $companyID;
});

这样配置后，用户再篡改URL里的companyID访问不属于自己的资源时，就会被Gate拦截，返回403错误，完美解决安全风险~

内容的提问来源于stack exchange，提问作者Abhishek Shah