Laravel 中 Gates 与 Middleware 的核心区别是什么

Laravel 中 Gates 与 Middleware 的核心区别是什么

在Laravel框架的权限与请求处理体系中，Gates和Middleware是两个经常被同时提及的组件，但二者的设计目标和适用场景存在本质差异。很多开发者在初期使用时容易将二者混淆，导致代码逻辑冗余或者功能实现不符合预期，下面我们从多个维度详细解析二者的核心区别。

设计定位差异

Gates属于Laravel的授权系统核心组件，它的核心作用是判断用户是否有权执行某个特定操作，本质是对用户权限的细粒度校验，关注的是操作本身的权限归属。

Middleware则是Laravel请求处理管道的核心部分，它的核心作用是拦截进入应用的HTTP请求，在请求到达控制器之前或者响应返回客户端之前执行通用逻辑，关注的是请求处理流程的通用控制。

适用场景对比

我们可以通过具体场景来区分二者的使用边界：

• Gates适用于需要校验用户是否具备某个操作权限的场景，比如判断用户是否能删除某篇文章、是否能查看某个用户的私有信息等，校验逻辑和用户、具体操作强关联。
• Middleware适用于所有请求都需要执行的通用逻辑，比如验证用户是否登录、记录请求日志、过滤非法请求参数、设置响应头等，逻辑和单个具体操作无关。

使用方式差异

Gates的使用方式

Gates通常在AuthServiceProvider中定义，通过Gate::define方法注册权限校验逻辑，使用时可以通过Gate::authorize或者authorize中间件调用。

下面是定义Gates的示例代码：

<?php

namespace AppProviders;

use AppModelsArticle;
use AppModelsUser;
use IlluminateSupportFacadesGate;
use IlluminateSupportServiceProvider;

class AuthServiceProvider extends ServiceProvider
{
    public function boot()
    {
        // 定义删除文章的权限Gate，判断当前用户是否是文章的作者
        Gate::define('delete-article', function (User $user, Article $article) {
            return $user->id === $article->user_id;
        });
    }
}

在控制器中使用该Gate进行权限校验：

<?php

namespace AppHttpControllers;

use AppModelsArticle;
use IlluminateHttpRequest;

class ArticleController extends Controller
{
    public function destroy(Request $request, $articleId)
    {
        $article = Article::findOrFail($articleId);
        // 校验当前用户是否有权删除该文章，无权限会抛出403异常
        $this->authorize('delete-article', $article);
        // 执行删除逻辑
        $article->delete();
        return response()->json(['message' => '删除成功']);
    }
}

Middleware的使用方式

Middleware可以通过artisan命令生成，在handle方法中编写请求处理逻辑，通过路由或者全局注册的方式生效。

下面是定义一个验证用户是否登录的Middleware示例：

<?php

namespace AppHttpMiddleware;

use Closure;
use IlluminateHttpRequest;
use IlluminateSupportFacadesAuth;

class CheckLogin
{
    public function handle(Request $request, Closure $next)
    {
        // 判断用户是否登录，未登录则返回401响应
        if (!Auth::check()) {
            return response()->json(['message' => '请先登录'], 401);
        }
        // 继续执行后续请求逻辑
        return $next($request);
    }
}

将该Middleware注册到路由中使用：

<?php

use AppHttpMiddlewareCheckLogin;
use IlluminateSupportFacadesRoute;

// 该路由组下的所有路由都会经过CheckLogin中间件校验
Route::middleware([CheckLogin::class])->group(function () {
    Route::delete('/articles/{articleId}', [ArticleController::class, 'destroy']);
});

核心差异总结

我们可以通过下表更直观地看到二者的核心区别：

实际开发中的选择建议

在实际项目中，我们可以遵循以下原则选择使用Gates还是Middleware：

• 如果需要判断用户是否有权执行某个和操作、资源相关的具体行为，优先选择Gates，比如判断用户是否能编辑某条评论、是否能导出某个报表等。
• 如果需要处理所有请求都需要执行的通用逻辑，比如身份验证、请求限流、日志记录等，优先选择Middleware。
• 二者也可以配合使用，比如先通过Middleware校验用户是否登录，再通过Gates校验用户是否具备当前操作的权限，形成多层的访问控制体系。

需要注意的是，不要在Middleware中编写和业务操作强关联的权限校验逻辑，也不要用Gates处理请求参数过滤、响应头设置等通用请求逻辑，否则会导致代码结构混乱，后续维护成本升高。

LaravelGatesMiddleware权限控制请求处理修改时间：2026-06-20 17:33:34