Laravel通过Gate和Policy实现权限控制，Gate基于闭包处理通用权限，如判断管理员身份；Policy则针对模型封装细粒度操作逻辑，如文章编辑、删除等。两者均在AuthServiceProvider中注册，可通过Gate::allows或$user->can进行权限检查，结合控制器authorize方法与Blade@can指令实现全方位权限管理，使逻辑集中且易于维护。
Laravel 提供了强大的授权机制，通过 Gate 和 Policy 实现灵活的权限控制。它们可以用于判断当前用户是否有权限执行某个操作，比如查看内容、编辑文章或删除资源。合理使用 Gate 与 Policy 能让权限逻辑更清晰、易于维护。
什么是 Gate 和 Policy？
Gate 是基于闭包的权限定义方式，适合处理通用或简单的权限判断，例如“是否为管理员”；Policy 则是针对特定模型的类，封装了与该模型相关的所有权限逻辑，比如“用户能否更新某篇文章”。
两者都可在控制器、中间件或 Blade 模板中使用 can 或 @can 方法进行权限判定。
定义 Gate 权限规则
在 App\Providers\AuthServiceProvider 的 boot 方法中注册 Gate：
use Illuminate\Support\Facades\Gate;
public function boot()
{
$this->registerPolicies();
// 定义一个 Gate：判断用户是否为管理员
Gate::define('admin-only', function ($user) {
return $user->is_admin === true;
});
// 动态判断是否可编辑文章
Gate::define('edit-post', function ($user, $post) {
return $user->id === $post->user_id;
});
}
注册后即可在代码中使用：
if (Gate::allows('edit-post', $post)) {
// 允许编辑
}
// 或检查是否具有权限
if (Gate::denies('admin-only')) {
abort(403);
}
使用 Policy 管理模型权限
Policy 更适合与 Eloquent 模型配合使用。例如为 Post 模型创建 Policy：
php artisan make:policy PostPolicy --model=Post
Laravel 会生成 app/Policies/PostPolicy.php 文件：
class PostPolicy
{
public function view(User $user, Post $post)
{
return $user->id === $post->user_id;
}
public function update(User $user, Post $post)
{
return $user->id === $post->user_id;
}
public function delete(User $user, Post $post)
{
return $user->id === $post->user_id || $user->is_admin;
}
}
然后在 AuthServiceProvider 中注册 Policy：
use App\Models\Post;
use App\Policies\PostPolicy;
protected $policies = [
Post::class => PostPolicy::class,
];
之后就可以通过模型自动调用对应策略：
if ($user->can('update', $post)) {
// 执行更新操作
}
在控制器和模板中使用权限
Laravel 支持在控制器中使用 authorize 方法快速验证权限，若不通过则自动抛出 403 异常：
public function edit(Post $post)
{
$this->authorize('edit', $post);
return view('post.edit', compact('post'));
}
在 Blade 模板中可用 @can 控制显示逻辑：
@can('edit', $post)
编辑
@endcan
@cannot('delete', $post)
无删除权限
@endcannot
也可以传入模型类名判断通用权限：
@can('create', App\Models\Post::class)
发布新文章
@endcan
基本上就这些。Gate 适合简单全局权限，Policy 更适合模型级别的细粒度控制。结合使用能让权限管理更清晰，也便于后期扩展。关键是把权限逻辑集中处理，避免散落在各个控制器中。
