使用 authorizeResource 資源授權時的坑

一百萬個答案發表於2020-03-14

在控制器中使用 authorizeResource 授權時,凡是路由引數是蛇形命名法(snake case)命名的,例如product_image

Route::resource('product/{product}/product_image', 'ProductImageController')

public function __construct()
{
        $this->authorizeResource(ProductImage::class, 'product_image');
}

控制器的update()和destroy()動作都會未經授權驗證，直接報出 403 This action is unauthorized.錯誤

參考：https://github.com/laravel/framework/issue...

authorizeResource(\App\Post::class, ‘post’) and controller method update($post_id) will give a 403 error without reaching ever the policy.

解決辦法：

public function boot()
    {
        parent::boot();

        Route::model('product_image', ProductImage::class);
    }

在 RouteServiceProvider 中顯式繫結路由引數與對應模型。

使用重新命名路由引數也可以解決問題,參考：https://github.com/laravel/framework/issue...

Route::resourc('posts', ' UserPostsController', ['parameters' => ['posts' => 'user_post']]);
本作品採用《CC 協議》，轉載必須註明作者和本文連結

相關文章