Sistem kebenaran (authorization) Laravel mengawal apa yang dibenarkan untuk dilakukan oleh pengguna yang disahkan (berbeza daripada pengesahan — siapa mereka). Gate ialah closure ringkas untuk kebenaran; Policy ialah kelas yang menyusun logik kebenaran sekitar model tertentu (cth. siapa yang boleh mengemas kini sesebuah Post).
::(, fn() => ->());
(::()) { ... }
::();
Gate sesuai untuk kebenaran ringkas yang berdiri sendiri yang tidak terikat dengan model tertentu.
<?php
// php artisan make:policy PostPolicy --model=Post
class PostPolicy {
public function update(User $user, Post $post): bool {
return $user->id === $post->user_id; // only the author can update
}
public function delete(User $user, Post $post): bool {
return $user->id === $post->user_id || $user->isAdmin();
}
}
Satu kelas Policy mengumpulkan peraturan kebenaran bagi sesebuah model — setiap method menjawab "bolehkah pengguna ini melakukan tindakan ini pada model ini?" Ini memastikan logik kebenaran tersusun bagi setiap sumber.
// in a controller
public function update(Request $request, Post $post) {
$this->authorize('update', $post); // checks PostPolicy::update — throws 403 if denied
// ... proceed (we know the user is authorized)
}
// the user model
if ($request->user()->can('update', $post)) { ... }
{{-- in Blade — show UI only if authorized --}}
@can('update', $post)
<a href="{{ route('posts.edit', $post) }}">Edit</a>
@endcan
Method authorize()/can() (dan @can dalam Blade) menyemak policy secara automatik — melontarkan 403 atau menyembunyikan UI apabila pengguna tidak dibenarkan.
Kebenaran adalah penting dan kritikal dari segi keselamatan — mengawal apa yang dibenarkan untuk dilakukan oleh pengguna yang disahkan (bukan sekadar sama ada mereka log masuk) adalah asas kepada keselamatan aplikasi, dan policy serta gate Laravel menyediakan cara yang bersih dan tersusun untuk menanganinya.
Memahami perbezaan antara pengesahan (authentication) (siapa anda — log masuk) dan kebenaran (authorization) (apa yang boleh anda lakukan — keizinan) adalah asas, dan kegagalan kebenaran membawa kepada kerentanan yang serius (pengguna mengakses atau mengubah data yang tidak sepatutnya — broken access control ialah risiko keselamatan teratas).
Sistem Laravel menawarkan dua alat yang saling melengkapi: Gate untuk kebenaran ringkas yang berdiri sendiri (semakan berasaskan closure), dan Policy — pendekatan lazim yang disyorkan — yang menyusun peraturan kebenaran sesebuah model ke dalam satu kelas khusus (cth. siapa yang boleh mengemas kini atau memadam sesebuah Post), memastikan logik kebenaran tersusun dan boleh diselenggara bagi setiap sumber.
Memahami cara mentakrif policy/gate dan menguatkuasakannya ($this->authorize(), $user->can(), @can dalam Blade — menyemak keizinan dalam controller, melontarkan 403, dan menunjukkan UI secara bersyarat) adalah penting untuk membina aplikasi selamat di mana pengguna hanya boleh melakukan tindakan yang dibenarkan.
Memandangkan hampir setiap aplikasi sebenar memerlukan kawalan akses berbutir halus (memastikan pengguna hanya boleh mengubah sumber mereka sendiri, menyekat tindakan admin, dll.), dan kerana melakukan kebenaran dengan salah mewujudkan lubang keselamatan yang berbahaya, mengetahui policy dan gate Laravel — cara yang betul dan tersusun untuk melaksanakan kebenaran — ialah pengetahuan senior berkaitan keselamatan yang penting yang sangat perlu untuk membina aplikasi yang menguatkuasakan dengan betul siapa yang boleh melakukan apa, satu keperluan yang kerap dan kritikal dalam sistem sebenar.