gate适合全局简单权限判断，policy适合绑定模型的细粒度控制；gate定义需注意闭包参数顺序，policy方法名须与can()调用严格一致，且必须注册并使用类型声明。
Gate 和 Policy 到底该用哪个
Gate 适合简单、全局的权限判断，比如「用户是否能删除任意文章」；Policy 更适合绑定到具体模型，比如「用户能否编辑自己发布的 Post」。别一上来就写 Policy——没模型关联的逻辑（如后台菜单显示、API 访问开关）用 Gate::define() 更轻量，也更容易测试。
常见错误现象：AuthorizationException 抛出但没定位到是 Gate 还是 Policy 拦截的；或者在控制器里混用 can() 和 authorize()，结果 Policy 方法根本没执行。
- 只涉及用户角色或固定条件（如
auth()->user()->is_admin），直接用Gate::define('delete-user', ...) - 需要访问模型实例（如
$post->user_id === auth()->id()），必须用 Policy，并确保已通过php artisan make:policy PostPolicy --model=Post生成 - Policy 类必须在
AuthServiceProvider::boot()中注册，漏掉这句Gate::policy(Post::class, PostPolicy::class)就会静默失效
Gate 定义时闭包参数顺序不能错
Gate::define() 的闭包签名是 function ($user, $post = null) { ... }，第一个参数永远是 $user，第二个起才是资源（可选）。很多人写成 function ($post, $user)，导致 $user 取到的是模型实例，$post 反而为 null，权限永远返回 false。
使用场景：在中间件、Blade 模板、控制器里调用 Gate::allows('update-post', $post) 或 $user->can('update-post', $post) 时，底层都依赖这个参数顺序。
- 闭包中不要默认给
$user设值（如$user = auth()->user()），Laravel 会自动传入当前认证用户 - 如果权限判断不依赖用户（比如「是否允许访客查看公开页面」），仍需保留
$user参数位，可设为nullable并做空值检查 - 多个参数时（如
review-comment需要$comment和$review），把最核心的模型放第二位，其余往后顺延，避免和框架约定冲突
Policy 方法名必须严格匹配 can() 调用名
Laravel 不会自动映射 can('edit') 到 edit()，而是按字符串原样查找方法。如果你定义了 public function update(Post $post)，却调用 $user->can('edit', $post)，就会报 BadMethodCallException: Method App\Policies\PostPolicy::edit does not exist。
性能影响：方法名不匹配时，Laravel 会尝试魔术方法 __call()，再 fallback 到 Gate，多一层开销且掩盖真实问题。
- 保持命名一致：用
$user->can('update', $post)就必须有update()方法；想用'edit'就得写edit()方法，别指望它“智能识别” - Policy 方法第一个参数必须是模型实例（如
Post $post），类型声明不能省；否则类型错误可能延迟到运行时报TypeError - 不要在 Policy 方法里手动查数据库（如
User::find($post->user_id)）——模型实例已加载，直接用$post->user_id或关联关系即可
blade 中 @can 和 $user->can() 行为不完全等价
@can('delete', $post) 用的是当前认证用户，而 $user->can('delete', $post) 显式指定用户。开发时容易忽略这点，在测试不同用户权限或后台代管场景下出错。
兼容性影响：Laravel 9+ 对 @can 的参数解析更严格，如果传入数组或未初始化变量（如 @can('view', $maybeNullPost)），可能抛 ErrorException 而不是静默跳过。
- 模板里不确定模型是否为空时，先加判空：
@if($post) @can('view', $post) ... @endcan @endif - 需要校验非当前用户权限（如管理员审核他人内容），必须用
$otherUser->can('approve', $post)，@can无法做到 -
@canany(['update', 'delete'], $post)是便捷语法，但底层仍逐个调用 Gate/Policies，别把它当性能优化手段——复杂逻辑建议提前合并判断
