Laravel 11 同一视图/控制器实现用户与管理员双角色认证的中间件重定向问题

Hey 兄弟，我太懂你这种头疼的情况了——登录明明成功了，结果一进受保护的路由就被踢回登录页，要么直接返回False，这在Laravel11的新中间件配置逻辑下真的很容易踩坑，咱们一步步来把这个问题搞定：

先补全最基础的配置漏洞 #

看你贴的bootstrap/app.php代码，'auth.user' =>...明显没写完，这第一步就得把中间件别名配置完整，不然Laravel根本找不到对应的用户中间件：

->withMiddleware(function (Middleware $middleware) {
    // 你的web、api中间件配置保持不变
    $middleware->alias([
        'auth.admin' => AdminMiddleware::class,
        'auth.user' => UserMiddleware::class, // 补全这行！
        // 别忘了默认的auth中间件也得加上，不然基础认证都走不了
        'auth' => \Illuminate\Auth\Middleware\Authenticate::class,
    ]);
});

检查中间件的核心逻辑 #

你写的AdminMiddleware和UserMiddleware是关键，很多人在这里犯懒，直接判断角色却不先确认用户已经认证，或者角色判断逻辑错了。给你贴个标准的中间件写法，你对照改：

AdminMiddleware示例 #

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;

class AdminMiddleware
{
    public function handle(Request $request, Closure $next)
    {
        // 先确保用户已经通过基础认证，没认证直接踢去登录
        if (!Auth::check()) {
            return redirect()->route('login');
        }

        // 这里假设你的用户表用`role`字段区分角色，值为'admin'
        if (Auth::user()->role!== 'admin') {
            // 没有权限就返回403，或者跳回首页/用户自己的页面
            abort(403, '抱歉，你没有管理员权限');
        }

        return $next($request);
    }
}

UserMiddleware示例 #

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;

class UserMiddleware
{
    public function handle(Request $request, Closure $next)
    {
        if (!Auth::check()) {
            return redirect()->route('login');
        }

        if (Auth::user()->role!== 'user') {
            abort(403, '抱歉，你没有普通用户权限');
        }

        return $next($request);
    }
}

修正登录控制器的Store方法 #

登录成功后重定向之前，一定要刷新会话，不然Laravel可能会用旧的会话信息导致中间件识别失败。另外，要明确判断用户角色后再跳对应路由：

public function store(Request $request)
{
    // 先验证登录参数
    $credentials = $request->validate([
        'email' => 'required|email',
        'password' => 'required',
    ]);

    // 用默认web guard尝试认证
    if (Auth::attempt($credentials)) {
        $currentUser = Auth::user();
        // 刷新会话，防止会话固定攻击，同时确保会话信息最新
        $request->session()->regenerate();

        // 根据角色跳对应页面
        if ($currentUser->role === 'admin') {
            return redirect()->intended(route('admin.dashboard'));
        } elseif ($currentUser->role === 'user') {
            return redirect()->intended(route('user.profile'));
        }
    }

    // 认证失败返回登录页，带错误提示
    return back()->withErrors([
        'email' => '邮箱或密码有误，请重试',
    ]);
}

路由配置要对应中间件 #

最后一步，确保你的受保护路由组用对了中间件，别搞混了：

// 管理员专属路由组，用auth.admin中间件
Route::middleware(['auth.admin'])->group(function () {
    Route::get('/admin/dashboard', [AdminController::class, 'dashboard'])->name('admin.dashboard');
    // 其他管理员路由...
});

// 普通用户专属路由组，用auth.user中间件
Route::middleware(['auth.user'])->group(function () {
    Route::get('/user/profile', [UserController::class, 'profile'])->name('user.profile');
    // 其他用户路由...
});

排查时的小技巧 #

如果还是有问题，你可以在中间件的handle方法里加个dd()，看看当前认证状态：

// 在AdminMiddleware的handle方法开头加
dd(Auth::user(), Auth::check());

这样就能快速定位是用户没被正确认证，还是角色判断逻辑出了问题。

备注：内容来源于stack exchange，提问作者Assem Mohsen