policy未生效主因是未注册或授权流程错误：需显式绑定gate::policy()、用$this->authorize()而非手动gate调用、确保模型预加载且参数完整，自定义方法名须显式指定。
Policy 类没生效，authorize 报错 “This action is unauthorized”
常见原因是 Policy 没被正确注册，或控制器没走 Laravel 的授权流程。Laravel 不会自动扫描 Policy 类，必须显式绑定或命名规范匹配。
- 确保 Policy 类放在
app/Policies/下，类名是PostPolicy（模型名 + Policy），且实现了对应方法如view(User $user, Post $post) - 在
AuthServiceProvider@boot中注册：用Gate::policy(Post::class, PostPolicy::class)；不注册就完全不触发 - 控制器里别直接调
Gate::allows()，优先用$this->authorize('view', $post)—— 它会自动解析 Policy，而手动调 Gate 可能绕过绑定逻辑 - 如果用资源控制器，
authorizeResource(Post::class)是快捷方式，但它依赖模型属性$model和路由参数名一致（比如路由是post/{post}）
Policy 方法里访问不到模型字段或关系
典型表现是 $post->user_id 为空，或 $post->author 报 N+1 或 null —— 这不是 Policy 的锅，是模型传入前没预加载或没查全。
- Policy 方法接收的是已查询出的模型实例，它不会自动补数据。如果需要关联字段，控制器里就得提前
load()或with()，例如：Post::with('author')->findOrFail($id) - 别在 Policy 里做数据库查询（比如
$post->user->is_admin），这违反单一职责，也容易引发 N+1；应由控制器或服务层把必要上下文传进来，比如$this->authorize('update', [$post, $request->input('status')]) - 若必须判断关联状态，且模型关系已定义，用
$post->relationLoaded('author')先检查是否已加载，避免静默触发查询
自定义策略方法名不被识别（比如叫 canEditDraft）
Laravel 的 authorize 默认只认标准动作名：view、update、delete 等。自定义方法名需显式指定，否则 Gate 找不到。
- 调用时必须写全方法名：
$this->authorize('canEditDraft', $post)，不能只写$this->authorize('editDraft', $post) - 对应 Policy 方法签名得严格匹配：
public function canEditDraft(User $user, Post $post)，参数顺序和类型不能错 - Gate 不支持通配符或模糊匹配，
'edit*'这种写法无效；想复用逻辑，用私有方法抽离，别依赖命名自动映射 - 如果大量自定义动作，考虑改用策略类里的常量 +
__call()拦截，但小项目没必要，反而增加维护成本
测试 Policy 时 actingAs($user) 没效果
测试中用了 actingAs() 却仍报未授权，大概率是 Gate 绑定发生在 setUp() 之后，或测试用的 User 实例没通过 Auth 认证上下文传递到 Gate。
- 在测试类的
setUp()里调$this->withoutExceptionHandling()和$this->actingAs($user)后，再手动触发一次Gate::forUser($user)确保上下文就位 - 别在 Policy 方法里用
Auth::user()—— 测试时它可能为 null；始终依赖方法参数传入的$user - 用
Gate::inspect('view', $post)->allowed()替代抛异常的方式断言，更直观；它返回AuthorizationResponse对象，可查->allowed()和->message - 如果 Policy 依赖角色或权限包（如 spatie/laravel-permission），确保测试数据库里真实插入了对应
Role和Permission关联，不能只靠模型工厂造空用户
