Laravel项目中限制用户仅能查看自身个人资料的需求

嘿，这个需求在Laravel里实现起来很直观，我给你几个实用的方案，你可以根据项目情况选：

如果你的个人资料页面逻辑比较简单，直接在控制器方法里加个判断就行，不用额外搞中间件：

首先确保路由已经加上auth中间件，保证只有登录用户能访问：

// routes/web.php
Route::get('/userprofile/{id}', [UserProfileController::class, 'show'])->middleware('auth');

然后在控制器的show方法里对比当前登录用户ID和URL传入的ID：

// app/Http/Controllers/UserProfileController.php
public function show($id)
{
    // 获取当前登录用户
    $currentUser = auth()->user();
    
    // 如果URL里的ID和当前用户ID不一致，跳回自己的资料页并提示错误
    if ($currentUser->id != $id) {
        return redirect()->route('userprofile.show', $currentUser->id)
            ->with('error', '你只能查看自己的个人资料哦');
    }
    
    // ID一致的话，获取用户数据并返回视图
    $user = \App\Models\User::findOrFail($id);
    return view('userprofile.show', compact('user'));
}

如果以后还有其他页面需要类似的权限限制，自定义中间件会更优雅，复用性更强：

1. 创建中间件 #

执行Artisan命令生成中间件：

php artisan make:middleware EnsureUserOwnsProfile

2. 编写中间件逻辑 #

打开生成的中间件文件app/Http/Middleware/EnsureUserOwnsProfile.php，修改handle方法：

public function handle(Request $request, Closure $next)
{
    // 从路由参数里拿到资料ID
    $profileId = $request->route('id');
    // 获取当前登录用户ID
    $currentUserId = auth()->id();
    
    // 对比ID，不一致就跳转
    if ($profileId != $currentUserId) {
        return redirect()->route('userprofile.show', $currentUserId)
            ->with('error', '你无权访问该用户的资料');
    }
    
    return $next($request);
}

3. 注册中间件 #

打开app/Http/Kernel.php，在$routeMiddleware数组里添加中间件别名：

protected $routeMiddleware = [
    // ...其他中间件
    'owns.profile' => \App\Http\Middleware\EnsureUserOwnsProfile::class,
];

4. 路由里使用中间件 #

现在直接给路由加上这个中间件就行，记得同时保留auth中间件：

Route::get('/userprofile/{id}', [UserProfileController::class, 'show'])
    ->middleware(['auth', 'owns.profile']);

其实还有个更省心的方式：直接把URL改成/userprofile，不需要传ID，直接显示当前登录用户的资料。这样用户连手动改ID的机会都没有，安全性拉满：

路由设置 #

Route::get('/userprofile', [UserProfileController::class, 'showOwn'])->middleware('auth');

控制器方法 #

public function showOwn()
{
    // 直接拿当前登录用户的数据
    $user = auth()->user();
    return view('userprofile.show', compact('user'));
}

这几个方案都能解决你的问题，我个人更推荐中间件或者去掉URL ID的方式——前者适合多场景复用，后者从根源上避免了ID篡改的问题。

内容的提问来源于stack exchange，提问作者user6139948