本文将深入探讨 Laravel 授权策略（Policy）未被调用并始终返回 403 错误这一常见问题。我们将分析 authorizeResource() 和 authorize() 的使用场景及差异，并提供详细的示例代码，指导开发者如何通过显式调用 authorize() 方法并正确传递模型实例来解决授权策略不生效的问题，确保应用程序的访问控制逻辑按预期运行。
1. 理解 Laravel 授权策略
Laravel 的授权策略（Policies）提供了一种将授权逻辑组织到小型、可管理的类中的方法。每个策略类对应一个模型，包含多个方法，每个方法对应一个特定的操作（如 view、create、update、delete）。当用户尝试执行某个操作时，Laravel 会调用相应的策略方法来决定是否允许该操作。
2. 常见问题：authorizeResource() 未触发策略导致 403
在 Laravel 中，authorizeResource() 方法通常用于资源控制器（Resource Controller），它会自动将控制器动作映射到策略方法。然而，在某些情况下，尤其是在 API 端点或复杂的路由配置中，authorizeResource() 可能无法正确地将模型实例传递给策略方法，从而导致策略未被调用并返回 403 错误。
例如，当调试发现 $this->raw($ability, $arguments) 中的 $arguments 为空数组时，即使策略方法（如 view）返回 true，Gate 也会因为缺少必要的模型参数而无法正确执行授权判断，最终导致 403 响应。这通常发生在 authorizeResource() 无法从路由参数中推断出模型实例的情况下。
3. 解决方案：显式调用 authorize()
当 authorizeResource() 无法满足需求时，最可靠的方法是显式地在控制器方法中调用 $this->authorize()。此方法允许开发者精确控制要调用的策略能力（ability）和传递给策略的参数。
3.1 策略映射配置
首先，确保在 AuthServiceProvider 中正确映射了模型及其对应的策略。
PlumberPolicy::class // 映射 Plumber 模型到 PlumberPolicy
];
/**
* Register any authentication / authorization services.
*
* @return void
*/
public function boot()
{
$this->registerPolicies();
}
}3.2 策略方法实现
在策略类中，定义对应操作的方法。请注意，对于需要特定模型实例的操作（如 view、update、delete），策略方法应接受模型实例作为第二个参数。对于不需要特定模型实例的操作（如 viewAny、create），则只需接受用户实例。
3.3 控制器中的显式授权调用
在控制器中，根据不同的操作，调用 $this->authorize() 方法。关键在于为需要模型实例的策略方法（如 view、update、delete）提供一个具体的模型对象，而不是仅仅传递类名或空数组。
repository = $repository; // 注意：此处不再使用 $this->authorizeResource() } /** * 显示 Plumber 列表。 * 对应 PlumberPolicy::viewAny() */ public function index(Request $request) { // 对于集合操作，传递模型类名 $this->authorize('viewAny', Plumber::class); // ... 获取并返回 Plumber 列表的逻辑 } /** * 存储新的 Plumber 实例。 * 对应 PlumberPolicy::create() */ public function store(Request $request) { // 对于创建操作，传递模型类名 $this->authorize('create', Plumber::class); // ... 存储 Plumber 实例的逻辑 } /** * 显示指定的 Plumber 实例。 * 对应 PlumberPolicy::view() */ public function show(Request $request, $id) { $plumber = $this->repository->getByID($id); // 获取模型实例 // 对于单个模型操作，传递模型实例 $this->authorize('view', $plumber); return parent::show($request, $id); // 调用父类的 show 方法或自己的逻辑 } /** * 更新指定的 Plumber 实例。 * 对应 PlumberPolicy::update() */ public function update(Request $request, $id) { $plumber = $this->repository->getByID($id); // 获取模型实例 // 对于单个模型操作，传递模型实例 $this->authorize('update', $plumber); // ... 更新 Plumber 实例的逻辑 return parent::update($request, $id); } /** * 删除指定的 Plumber 实例。 * 对应 PlumberPolicy::delete() */ public function destroy(Request $request, $id) { $plumber = $this->repository->getByID($id); // 获取模型实例 // 对于单个模型操作，传递模型实例 $this->authorize('delete', $plumber); // ... 删除 Plumber 实例的逻辑 } }4. 注意事项与最佳实践
- 模型实例的重要性： 对于需要操作特定模型实例的策略方法（如 view, update, delete），务必在调用 $this->authorize() 时传入一个实际的模型对象。如果传入 null、类名字符串或数组，策略方法可能无法被正确调用，或者会因为类型不匹配而失败。
- viewAny 和 create 的特殊性： 这两个策略方法通常不涉及具体的模型实例，因此在调用 authorize() 时只需传递模型类的名称。
- 错误处理： 当 $this->authorize() 失败时，Laravel 会自动抛出 Illuminate\Auth\Access\AuthorizationException 异常，该异常默认会被框架捕获并转换为 403 HTTP 响应。
- 依赖注入： 在控制器方法中获取模型实例时，可以利用 Laravel 的路由模型绑定功能，直接在方法签名中注入模型实例，减少手动从仓库获取的步骤。例如：public function show(Request $request, Plumber $plumber)。
- 代码可读性： 显式调用 authorize() 虽然比 authorizeResource() 稍微冗长，但它提供了更强的控制力和更好的可读性，尤其是在授权逻辑复杂或需要定制化参数传递的场景下。
总结
当 Laravel 授权策略未被触发并返回 403 错误时，通常是因为授权机制未能正确获取或传递模型实例给策略方法。通过放弃使用 authorizeResource() 并转而采用显式调用 $this->authorize()，并在适当的时候传递模型类名或具体的模型实例，可以有效解决这一问题。这种方法确保了授权逻辑的精确执行，提高了应用程序的稳定性和安全性。
