Laravel重复路由组权限问题：管理员访问创作者路由遭拒绝

首先明确Laravel路由的核心匹配规则：路由是按你定义的从上到下顺序进行匹配的，只要找到第一个符合请求HTTP方法和URI的路由，就会立即执行它，后续的路由不会再被检查。

你现在遇到的问题，本质是重复定义了相同的路由（POST /foo和PUT /foo/{uuid}），而路由顺序导致管理员请求命中了创作者组的路由：

• 如果你的创作者路由组定义在管理员组之前：管理员访问这两个路由时，会先匹配到创作者组的路由，此时中间件bar:creator会检查用户是否拥有creator权限——但管理员的权限只有admin，自然会被拒绝。
• 如果你的管理员组定义在创作者组之前：创作者访问这两个路由时，会先匹配到管理员组的路由，中间件bar:admin检查admin权限，创作者没有，同样会被拒绝。

不管哪种顺序，重复定义路由都会导致其中一个角色无法正常访问，这就是问题的根源。

最清晰且优雅的解决方式是：把两个角色都能访问的公共路由单独抽离，让中间件支持“满足任意权限即可访问”的逻辑，再单独定义管理员的专属路由。

步骤1：重构路由配置 #

把公共路由和管理员专属路由分开定义，避免重复：

// 公共路由：admin和creator都可访问
Route::group(['middleware' => 'bar:admin,creator'], function () {
    Route::post('foo', 'FooController@store');
    Route::put('foo/{uuid}', 'FooController@update');
});

// 管理员专属路由：仅admin可访问
Route::group(['middleware' => 'bar:admin'], function () {
    Route::put('foo/{uuid}/publish', 'FooController@publish');
    Route::put('foo/{uuid}/disable', 'FooController@disable');
    Route::put('foo/{uuid}/enable', 'FooController@enable');
    Route::delete('foo/{uuid}', 'FooController@destroy');
});

步骤2：调整中间件的权限检查逻辑 #

你当前的中间件逻辑是要求用户必须拥有所有传入的权限规则（循环检查每个规则是否在用户权限列表里），而我们需要的是用户拥有任意一个传入的权限规则即可访问。修改bar中间件的handle方法：

public function handle($request, \Closure $next, ...$permissionRules) {
    // 你的现有代码：获取$userPermissions（比如从token解析）
    $userPermissions = $decodedToken['user']['permissions'];

    // 检查用户是否拥有至少一个所需权限
    $hasValidPermission = false;
    foreach ($permissionRules as $permission) {
        if (in_array($permission, $userPermissions)) {
            $hasValidPermission = true;
            break;
        }
    }

    if (!$hasValidPermission) {
        return $this->denyResponse();
    }

    return $next($request);
}

这样调整后：

• 公共路由的bar:admin,creator会允许拥有admin或creator权限的用户访问，完美覆盖两个角色的需求；
• 管理员专属路由的bar:admin仅允许拥有admin权限的用户访问，符合权限控制要求；
• 彻底避免了路由重复定义的问题，路由结构更清晰。

如果你暂时不想修改中间件逻辑，也可以调整路由顺序，把管理员组放在创作者组之后，同时给管理员的权限列表添加creator权限——但这种方式逻辑不清晰，管理员权限不需要包含creator，后续维护容易出问题，所以不建议采用。

内容的提问来源于stack exchange，提问作者Husso