Laravel 9 根据用户角色保护路由的完整教程

本文详解如何在 Laravel 9 中通过自定义中间件，根据 users 表中任意字段（如 role 字符串值）精确控制路由访问权限，例如仅允许 role = 'Admin' 的用户访问 /user/create。方法轻量、可复用、符合 Laravel 最佳实践。

本文详解如何在 Laravel 9 中通过自定义中间件，根据 `users` 表中任意字段（如 `role` 字符串值）精确控制路由访问权限，例如仅允许 `role = 'Admin'` 的用户访问 `/user/create`。方法轻量、可复用、符合 Laravel 最佳实践。

在 Laravel 9 中，Auth 中间件仅确保用户已登录，但无法按业务字段（如 role、type、status 等）做细粒度授权。此时，自定义中间件是最清晰、最可控的解决方案——它不依赖第三方包，不修改核心认证逻辑，且与 Livewire、Inertia 或传统 Blade 项目完全兼容。

✅ 步骤一：创建中间件

运行 Artisan 命令生成中间件：

php artisan make:middleware IsAdmin

编辑 app/Http/Middleware/IsAdmin.php，在 handle 方法中添加角色校验逻辑：

route('login');
        }

        $user = Auth::user();

        // 关键：根据数据库字段值判断权限（支持字符串、枚举、整型等）
        if ($user->role !== 'Admin') {
            abort(403, 'Unauthorized action: Admin role required.');
        }

        return $next($request);
    }
}

? 提示：使用 === 严格比较避免类型混淆；abort(403) 会自动渲染 resources/views/errors/403.blade.php（建议自定义该视图提升用户体验）。

✅ 步骤二：注册并应用中间件

Laravel 9 默认已自动注册中间件别名（无需手动添加到 $routeMiddleware），可直接在路由中引用类名：

// routes/web.php
use App\Http\Middleware\IsAdmin;

Route::middleware(['auth', 'verified'])->group(function () {
    Route::get('/users', App\Http\Livewire\User\Index::class)->name('users.index');
    Route::get('/user/{user}/edit', App\Http\Livewire\User\Edit::class)->name('user.edit');

    // ✅ 仅 Admin 可访问创建页
    Route::get('/user/create', App\Http\Livewire\User\Create::class)
        ->middleware(IsAdmin::class)
        ->name('user.create');
});

✅ 进阶：支持多角色 & 可配置化（推荐）

若未来需支持 'Admin'、'Editor'、'Support' 多角色，建议升级为参数化中间件：

1. 修改中间件构造函数与 handle：

// app/Http/Middleware/HasRole.php
public function __construct(private array $allowedRoles) {}

public function handle(Request $request, Closure $next)
{
    if (!Auth::check() || !in_array(Auth::user()->role, $this->allowedRoles)) {
        abort(403, 'Insufficient role privileges.');
    }
    return $next($request);
}

2. 在 app/Http/Kernel.php 中注册别名（便于路由调用）：

protected $middlewareAliases = [
    // ... 其他中间件
    'role' => \App\Http\Middleware\HasRole::class,
];

3. 路由中使用带参数语法：

Route::get('/user/create', App\Http\Livewire\User\Create::class)
    ->middleware('role:Admin,Editor')
    ->name('user.create');

⚠️ 注意事项与最佳实践

• 顺序很重要：middleware(['auth', 'verified', 'IsAdmin']) 中，auth 必须在前，否则 Auth::user() 将为 null；
• 字段安全性：确保 role 字段不可被用户篡改（如禁用前端隐藏字段、模型 $fillable 不包含 role）；
• Livewire 兼容性：该中间件对 Livewire 组件路由完全有效；若组件内含敏感操作（如删除），仍需在组件 mount() 或方法中二次校验，防止绕过路由层；
• 性能考虑：单次请求仅查询一次用户数据，无额外 N+1 查询问题；
• 替代方案对比：
  • ❌ 不推荐条件式注册路由（如 if ($user->role === 'Admin') Route::get(...)）——违反路由缓存机制，且 web.php 中无法获取当前用户；
  • ❌ 避免在控制器中 abort(403) —— 路由保护应前置，而非后置拦截。

通过以上方式，你不仅实现了精准的基于字段值的路由保护，还为后续扩展（如 RBAC、权限节点控制）打下坚实基础。简洁、可靠、原生 Laravel 风格——这正是 Laravel 9 授权设计的精髓所在。