首先创建模型对应策略类并注册到AuthServiceProvider，接着在PostPolicy中定义view、update、delete等授权方法，然后在控制器中调用$this->authorize('action', $model)进行权限检查，或在路由中使用can中间件实现自动授权，最后可通过集合filter方法结合策略过滤用户可访问的资源列表。
如果您正在开发一个 Laravel 应用并希望通过策略（Policy）对 API 请求进行细粒度的权限控制，可以通过集成 Laravel 的授权系统来实现。Laravel 提供了强大的 Policy 机制，用于定义特定用户是否可以执行某些操作。以下是实现基于策略的 API 授权的具体步骤：
本文运行环境：MacBook Pro，macOS Sonoma
一、创建模型与策略类
在 Laravel 中，每个策略通常对应一个模型，用于定义该模型上的各种操作权限。通过 Artisan 命令可以快速生成策略类。
1、使用 Artisan 命令为指定模型生成策略类，例如 Post 模型：
php artisan make:policy PostPolicy --model=Post
2、该命令将在 app/Policies 目录下创建 PostPolicy.php 文件，并自动注册到 AuthServiceProvider 中。
二、注册策略到 AuthServiceProvider
Laravel 需要明确知道哪个模型应使用哪个策略。这一步通常在生成策略时自动完成，但仍需确认配置正确。
1、打开 app/Providers/AuthServiceProvider.php 文件。
2、检查 $policies 属性中是否已添加如下映射：
'App\Models\Post' => 'App\Policies\PostPolicy'
3、如果没有，请手动添加该条目以确保模型和策略正确绑定。
三、定义策略方法
策略类中的每个公共方法代表一种用户可执行的操作，如查看、更新或删除资源。这些方法接收用户实例和目标模型实例作为参数。
1、编辑 app/Policies/PostPolicy.php 文件。
2、添加以下方法示例：
public function view(User $user, Post $post)
{
return $user->id === $post->user_id;
}
public function update(User $user, Post $post)
{
return $user->id === $post->user_id;
}
public function delete(User $user, Post $post)
{
return $user->id === $post->user_id;
}
四、在控制器中调用策略授权
Laravel 提供多种方式在控制器中执行策略检查，推荐使用 authorize 方法触发自动异常处理。
1、在 API 控制器方法中（如 PostController@update），添加授权检查：
$this->authorize('update', $post);
2、如果当前认证用户无权操作，Laravel 将自动抛出 403 Forbidden 异常。
3、确保控制器方法中传入的模型实例是从数据库加载的完整对象，以便策略方法能正确比较属性。
五、通过中间件进行路由级授权
对于需要统一控制的路由组，可使用 Laravel 的 can 中间件直接在路由定义中应用策略。
1、在 routes/api.php 中定义路由时添加中间件：
Route::put('/posts/{post}', [PostController@update])->middleware('can:update,post');
2、此方式会自动解析 {post} 参数并传递给 update 策略方法，无需在控制器中重复调用 authorize。
六、在资源集合中应用策略
当返回多个资源时，可能需要过滤出用户有权访问的记录。此时可使用策略配合集合筛选。
1、在控制器中获取所有文章后，使用 user() 和 policies 结合筛选：
$posts = Post::all()->filter(function ($post) {
return auth()->user()->can('view', $post);
});
2、将结果转换为集合以支持 further 处理：
$posts = collect($posts);
