如何在Laravel Blade中通过Policy批量处理大量用户权限？

嘿，针对你在Laravel Blade里批量校验权限的需求，我有几个实用的方案和最佳实践分享给你，完全能解决大量权限场景下的痛点！

这是最直接满足你“一行指令”需求的方法，我们可以自己封装一对指令，支持「任意权限校验」和「全部权限校验」两种场景。

首先，在App\Providers\AppServiceProvider的boot方法里注册指令：

use Illuminate\Support\Facades\Blade;
use Illuminate\Support\Facades\Auth;

public function boot()
{
    // 校验用户是否拥有指定权限中的任意一个
    Blade::directive('hasAnyPermission', function ($permissions) {
        return "<?php if(Auth::check() && count(array_intersect(Auth::user()->cached_permissions, {$permissions})) > 0): ?>";
    });

    Blade::directive('endHasAnyPermission', function () {
        return "<?php endif; ?>";
    });

    // 校验用户是否拥有所有指定权限
    Blade::directive('hasAllPermissions', function ($permissions) {
        return "<?php if(Auth::check()): \$required = {$permissions}; \$userPerms = Auth::user()->cached_permissions; if(count(array_intersect(\$required, \$userPerms)) === count(\$required)): ?>";
    });

    Blade::directive('endHasAllPermissions', function () {
        return "<?php endif; endif; ?>";
    });
}

这里用到了cached_permissions，是为了避免重复查询数据库，我们先在User模型里添加一个缓存权限的访问器：

public function getCachedPermissionsAttribute()
{
    return cache()->remember(
        "user_permissions_{$this->id}",
        now()->addHour(), // 缓存1小时，可根据需求调整
        fn() => $this->permissions()->pluck('module_name')->toArray()
    );
}

现在你就可以在Blade里像这样用了：

{{-- 只要有user_management或order_management其中一个权限就显示 --}}
@hasAnyPermission(['user_management', 'order_management'])
    <div class="menu-item">用户/订单管理菜单</div>
@endHasAnyPermission

{{-- 必须同时拥有user_view和user_edit权限才显示 --}}
@hasAllPermissions(['user_view', 'user_edit'])
    <button>编辑用户</button>
@endHasAllPermissions

如果你不想自定义指令，也可以利用Laravel的Gate功能，定义批量权限的校验逻辑，这样就能复用原生的@can指令：

在App\Providers\AuthServiceProvider的boot方法里注册Gate：

use Illuminate\Support\Facades\Gate;

public function boot()
{
    $this->registerPolicies();

    // 任意权限校验
    Gate::define('has-any-permission', function ($user, $permissions) {
        return count(array_intersect($user->cached_permissions, $permissions)) > 0;
    });

    // 全部权限校验
    Gate::define('has-all-permissions', function ($user, $permissions) {
        return count(array_intersect($user->cached_permissions, $permissions)) === count($permissions);
    });
}

然后在Blade里这样用：

@can('has-any-permission', ['user_management', 'order_management'])
    <div>拥有任意权限可见内容</div>
@endcan

@can('has-all-permissions', ['user_view', 'user_edit'])
    <button>拥有全部权限可见按钮</button>
@endcan

除了视图层面的校验，还有几个关键点能让你权限管理更高效：

1. 定义权限常量，避免硬编码 #

把所有权限名称统一放在一个常量类里，这样既避免拼写错误，也方便统一维护：

namespace App\Constants;

class PermissionConstant
{
    const USER_MANAGEMENT = 'user_management';
    const USER_VIEW = 'user_view';
    const USER_EDIT = 'user_edit';
    const ORDER_MANAGEMENT = 'order_management';
    // ... 其他权限
}

使用的时候直接调用常量：

@hasAnyPermission([PermissionConstant::USER_MANAGEMENT, PermissionConstant::ORDER_MANAGEMENT])

2. 路由层面的批量权限校验 #

如果是整组路由需要权限校验，自定义一个中间件会更高效：

先创建中间件CheckPermissions：

namespace App\Http\Middleware;

use Closure;
use Illuminate\Support\Facades\Auth;

class CheckPermissions
{
    public function handle($request, Closure $next, ...$permissions)
    {
        if (!Auth::check()) {
            abort(403, '未登录');
        }

        $userPerms = Auth::user()->cached_permissions;

        // 校验是否拥有任意一个权限
        if (count(array_intersect($permissions, $userPerms)) === 0) {
            abort(403, '无权限访问');
        }

        // 如果需要校验所有权限，替换成下面的判断：
        // if (count(array_intersect($permissions, $userPerms)) !== count($permissions)) {
        //     abort(403, '权限不足');
        // }

        return $next($request);
    }
}

在App\Http\Kernel里注册中间件：

protected $routeMiddleware = [
    // ... 其他中间件
    'permissions' => \App\Http\Middleware\CheckPermissions::class,
];

然后在路由里使用：

Route::prefix('admin')->middleware('permissions:user_management,order_management')->group(function () {
    Route::get('/users', [UserController::class, 'index']);
    Route::get('/orders', [OrderController::class, 'index']);
});

3. 权限缓存优化 #

前面提到的cached_permissions访问器已经做了缓存，但如果权限经常变动，你需要在更新用户权限时清除对应缓存：

public function syncPermissions(array $permissionIds)
{
    $this->permissions()->sync($permissionIds);
    cache()->forget("user_permissions_{$this->id}");
}

这样用户权限更新后，缓存会立即失效，下次访问会重新获取最新权限。

内容的提问来源于stack exchange，提问作者erezt