Laravel后台：如何隐藏当前登录用户的角色变更按钮

嘿，这个问题我刚好碰到过，给你梳理下解决方案！

你之前写的@if($user->admin && !Auth::user())逻辑有两个问题：一是!Auth::user()在用户登录后永远为false（因为登录状态下Auth::user()肯定能拿到当前用户实例），二是没有判断当前行的用户是不是登录用户自己，所以才会出现不符合预期的结果。

正确的前端Blade模板实现 #

核心思路是：只有当当前循环的用户不是登录用户自己时，才显示角色切换按钮。我们可以通过用户的唯一ID来做判断，代码示例如下：

@foreach($users as $user)
    <tr>
        <!-- 这里是用户名称、邮箱等其他信息列 -->
        <td>
            <!-- 判断当前行用户是否是登录用户自己，不是则显示按钮 -->
            @if($user->id !== Auth::user()->id)
                <button class="btn btn-sm btn-warning" onclick="handleToggleRole({{ $user->id }})">
                    {{ $user->role === 'admin' ? '切换为普通用户' : '提升为管理员' }}
                </button>
            @endif
        </td>
    </tr>
@endforeach

如果你的用户表中用admin字段（布尔类型）来标识管理员，按钮文本可以改成：

{{ $user->admin ? '取消管理员权限' : '设置为管理员' }}

关键：后端也要加权限校验！ #

前端隐藏按钮只是界面上的限制，懂技术的用户可以通过浏览器调试工具、Postman等工具直接构造请求修改自己的权限，所以必须在后端的角色切换逻辑中也添加校验，确保安全。比如在你的控制器方法里：

use App\Models\User;
use Illuminate\Support\Facades\Auth;

public function toggleUserRole(User $user)
{
    // 禁止当前登录用户修改自己的角色
    if ($user->id === Auth::id()) {
        abort(403, '无法修改自身的角色权限');
    }

    // 执行角色切换逻辑
    $user->role = $user->role === 'admin' ? 'user' : 'admin';
    // 如果是布尔类型的admin字段：$user->admin = !$user->admin;
    $user->save();

    return back()->with('success', '用户角色已成功切换');
}

这样不管是前端还是后端，都能彻底禁止用户降级自身权限，避免出现权限错误的问题。

内容的提问来源于stack exchange，提问作者Daz Lee