在Laravel项目中，根据用户的认证状态和角色控制UI元素显示，是提升应用安全性和用户体验的重要环节。很多开发者习惯直接通过前端CSS隐藏元素，这种方式无法阻止用户通过查看源码或修改请求获取未授权内容，因此需要在后端和模板层做好双重校验。
基础认证状态判断
Laravel内置的认证系统提供了便捷的方法判断用户是否已登录，最常用的就是Auth::check()方法，该方法返回布尔值，表示当前是否有已认证的用户。
在Blade模板中，可以直接使用@auth和@guest指令来区分登录和未登录用户的显示内容：
<!-- 仅登录用户可见的内容 -->
@auth
<div class="user-panel">
<p>欢迎回来，{{ Auth::user()->name }}</p>
<a href="/logout">退出登录</a>
</div>
@endauth
<!-- 仅未登录用户可见的内容 -->
@guest
<div class="login-panel">
<a href="/login">登录</a>
<a href="/register">注册</a>
</div>
@endguest
用户角色判断实现
如果项目需要区分不同角色的用户，比如普通用户、管理员、编辑等，首先需要给用户模型添加角色相关的属性和方法。假设用户表中有一个role字段，存储用户的角色标识。
可以在User模型中定义角色判断方法：
<?php
namespace AppModels;
use IlluminateFoundationAuthUser as Authenticatable;
class User extends Authenticatable
{
// 判断是否为管理员
public function isAdmin()
{
return $this->role === 'admin';
}
// 判断是否为编辑
public function isEditor()
{
return $this->role === 'editor';
}
// 通用角色判断方法
public function hasRole($role)
{
return $this->role === $role;
}
}
在Blade模板中就可以结合认证状态和角色方法进行判断：
@auth
<div class="admin-panel">
@if(Auth::user()->isAdmin())
<a href="/admin/dashboard">后台管理</a>
<a href="/admin/users">用户管理</a>
@endif
@if(Auth::user()->hasRole('editor'))
<a href="/article/review">文章审核</a>
@endif
<a href="/user/profile">个人中心</a>
</div>
@endauth
自定义Blade指令简化判断
如果角色判断的逻辑在多个模板中重复使用，可以自定义Blade指令来简化代码。在AppServiceProvider的boot方法中注册指令：
<?php
namespace AppProviders;
use IlluminateSupportServiceProvider;
use IlluminateSupportFacadesBlade;
class AppServiceProvider extends ServiceProvider
{
public function boot()
{
// 自定义角色判断指令
Blade::if('role', function ($role) {
return auth()->check() && auth()->user()->hasRole($role);
});
// 自定义多角色判断指令
Blade::if('anyRole', function (...$roles) {
if (!auth()->check()) {
return false;
}
$user = auth()->user();
foreach ($roles as $role) {
if ($user->hasRole($role)) {
return true;
}
}
return false;
});
}
}
注册完成后，就可以在模板中直接使用自定义指令：
@role('admin')
<button class="btn btn-danger">删除所有数据</button>
@endrole
@anyRole('admin', 'editor')
<button class="btn btn-primary">发布文章</button>
@endanyRole
后端权限校验补充
仅在前端控制UI元素显示是不够的，还需要在对应的后端接口中做好权限校验，避免用户通过直接访问接口绕过前端限制。可以使用中间件来实现接口层的权限控制。
创建角色校验中间件：
<?php
namespace AppHttpMiddleware;
use Closure;
use IlluminateHttpRequest;
class CheckRole
{
public function handle(Request $request, Closure $next, ...$roles)
{
if (!auth()->check()) {
return redirect('/login');
}
$user = auth()->user();
foreach ($roles as $role) {
if ($user->hasRole($role)) {
return $next($request);
}
}
abort(403, '无权限访问该页面');
}
}
然后在路由中应用该中间件：
Route::group(['middleware' => ['auth', 'role:admin']], function () {
Route::get('/admin/dashboard', [AdminController::class, 'dashboard']);
Route::delete('/admin/users/{id}', [AdminController::class, 'deleteUser']);
});
Route::group(['middleware' => ['auth', 'anyRole:admin,editor']], function () {
Route::post('/article/publish', [ArticleController::class, 'publish']);
});
注意事项
- 不要仅依赖前端隐藏元素，所有涉及权限的操作都必须在后端做二次校验
- 角色判断的逻辑尽量封装在模型或中间件中，避免在模板中写过多复杂逻辑
- 如果项目权限体系复杂，建议使用专业的权限管理包，比如spatie/laravel-permission，简化权限管理逻辑
- 定期审计权限相关的代码，避免出现权限泄露的问题