Laravel UserPolicy验证失败：编辑自身权限触发AccessDeniedHttpException求助

我来帮你一步步排查这个问题，这种同模型Policy验证失败的情况通常是几个容易忽略的细节导致的：

1. 确认Auth中间件是否生效 #

首先检查你的UserController是否被auth中间件保护——如果用户未登录，$this->authorize里的当前用户会是null，这时候$user->id的对比逻辑直接失效，触发权限拒绝。

你可以在控制器构造方法里添加中间件：

public function __construct()
{
    $this->middleware('auth');
}

或者给用户相关路由组加上auth中间件：

Route::middleware('auth')->group(function () {
    Route::get('/users/{user}/edit', [UserController::class, 'edit']);
    // 其他用户操作路由
});

2. 检查AuthServiceProvider中的策略映射命名空间 #

这是最容易踩坑的点！确保$policies数组里的User模型和UserPolicy的命名空间完全正确。比如如果你的User模型在App\Models\User而非根目录的App\User，策略映射要写完整：

protected $policies = [
    \App\Models\User::class => \App\Policies\UserPolicy::class,
    Post::class => PostPolicy::class,
];

如果命名空间不匹配，Laravel找不到对应的Policy，会直接默认返回权限拒绝，这时候你在Policy里加dd()也不会执行——因为根本没走到Policy的逻辑。

3. 确认路由模型绑定的参数与控制器参数一致 #

再确认路由中的参数名和控制器方法的参数名完全相同：
比如路由定义是：

Route::get('/users/{user}/edit', [UserController::class, 'edit']);

控制器方法必须对应：

public function edit(User $user) { ... }

这里的{user}和$user必须一致，否则Laravel无法正确注入User实例，导致$model为null，进而验证失败。

4. 直接打印当前用户和传入模型做对比 #

如果上面的都没问题，你可以在控制器的edit方法里先打印两个用户的ID，确认逻辑是否符合预期：

public function edit(User $user) {
    dd(auth()->user()->id, $user->id); // 查看两个ID是否相等
    $this->authorize('update', $user);
    return view('users.edit')->with('user', $user);
}

如果这里打印的ID相等但仍验证失败，尝试清除Laravel缓存：

php artisan cache:clear
php artisan config:clear
php artisan route:clear

5. 再次确认Policy的方法签名 #

最后再核对一遍Policy的update方法签名，确保参数顺序正确：

// 正确签名：第一个参数是当前登录用户，第二个是要验证的模型实例
public function update(User $user, User $model) {
    return $user->id === $model->id;
}

要是搞反了两个参数的顺序，对比逻辑就完全错误了。

按照上面的步骤排查，应该能快速定位问题——我之前遇到过好几次都是命名空间写错或者中间件没加导致的~

内容的提问来源于stack exchange，提问作者user6168095