当 id 为 1 的用户去尝试更新 id 为 2 的用户信息时，我们应该返回一个 403 禁止访问的异常。在 Laravel 中可以使用 授权策略 (Policy) 来对用户的操作权限进行验证，在用户未经授权进行操作时将返回 403 禁止访问的异常。
授权策略文件
我们可以使用以下命令来生成一个名为 UserPolicy 的授权策略类文件，用于管理用户模型的授权。
$ php artisan make:policy UserPolicy
所有生成的授权策略文件都会被放置在 app/Policies 文件夹下。
为授权策略添加方法
让我们为默认生成的用户授权策略添加 update 方法，用于用户更新时的权限验证。
app/Policies/UserPolicy.php
id === $user->id;
}
}
update 方法接收两个参数，第一个参数默认为当前登录用户实例，第二个参数则为要进行授权的用户实例。当两个 id 相同时，则代表两个用户是相同用户，用户通过授权，可以接着进行下一个操作。如果 id 不相同的话，将抛出 403 异常信息来拒绝访问。
使用授权策略需要注意以下两点：
- 我们并不需要检查 $currentUser 是不是 NULL。未登录用户，框架会自动为其 所有权限 返回 false；
- 调用时，默认情况下，我们 不需要 传递当前登录用户至该方法内，因为框架会自动加载当前登录用户；
设置policies 属性
接下来我们还需要在 AuthServiceProvider 类中对授权策略进行设置。AuthServiceProvider 包含了一个 policies 属性，该属性用于将各种模型对应到管理它们的授权策略上。我们需要为用户模型 User 指定授权策略 UserPolicy。
app/Providers/AuthServiceProvider.php
'App\Policies\ModelPolicy',
\App\Models\User::class => \App\Policies\UserPolicy::class,
];
.
.
.
}
使用 authorize 方法验证用户授权策略
授权策略定义完成之后，我们便可以通过在用户控制器中使用 authorize 方法来验证用户授权策略。默认的 App\Http\Controllers\Controller 类包含了 Laravel 的 AuthorizesRequests trait。此 trait 提供了 authorize 方法，它可以被用于快速授权一个指定的行为，当无权限运行该行为时会抛出 HttpException。
authorize 方法接收两个参数，第一个为授权策略的名称，第二个为进行授权验证的数据。
我们需要为 edit 和 update 方法加上这行：
$this->authorize('update', $user);
这里 update 是指授权类里的 update 授权方法，$user 对应传参 update 授权方法的第二个参数。正如上面定义 update 授权方法时候提起的，调用时，默认情况下，我们 不需要 传递第一个参数，也就是当前登录用户至该方法内，因为框架会自动加载当前登录用户。
书写的位置如下：
app/Http/Controllers/UsersController.php
authorize('update', $user);
return view('users.edit', compact('user'));
}
public function update(User $user, Request $request)
{
$this->validate($request, [
'name' => 'required|max:50',
'password' => 'confirmed|min:6'
]);
$this->authorize('update', $user);
$data = [];
$data['name'] = $request->name;
if ($request->password) {
$data['password'] = bcrypt($request->password);
}
$user->update($data);
session()->flash('success', '个人资料更新成功！');
return redirect()->route('users.show', $user->id);
}
}
添加测试数据
接我们需要创建第二个用户来测试一下授权功能，首先让我们使用此命令进入 Tinker 环境：
$ php artisan tinker
如果中途想要退出 Tinker，可使用 ctrl + c 快捷键。
通过下面命令创建 ID 为 2 的用户：
>>> App\Models\User::create(['name'=> 'Summer', 'email'=>'[email protected]','password'=>bcrypt('password')])
现在，使用 id 为 1 的用户登录，当访问 id 为 2 的用户编辑页面 —— http://sample.app/users/2/edit ，系统将会拒绝访问。
友好的转向
当一个未登录的用户尝试访问自己的资料编辑页面时，将会自动跳转到登录页面，这时候如果用户再进行登录，则会重定向到其个人中心页面上，这种方式的用户体验并不好。更好的做法是，将用户重定向到他之前尝试访问的页面，即自己的个人编辑页面。
redirect() 实例提供了一个 intended 方法，该方法可将页面重定向到上一次请求尝试访问的页面上，并接收一个默认跳转地址参数，当上一次请求记录为空时，跳转到默认地址上。
app/Http/Controllers/SessionsController.php
validate($request, [
'email' => 'required|email|max:255',
'password' => 'required'
]);
$credentials = [
'email' => $request->email,
'password' => $request->password,
];
if (Auth::attempt($credentials, $request->has('remember'))) {
session()->flash('success', '欢迎回来！');
return redirect()->intended(route('users.show', [Auth::user()]));
} else {
session()->flash('danger', '很抱歉，您的邮箱和密码不匹配');
return redirect()->back();
}
}
.
.
.
}
现在尝试退出登录，并访问 http://sample.app/users/1/edit 页面，页面将重定向到登录页面，这时候接着使用 id 为 1 的用户进行登录，在登录成功后页面将重定向到用户编辑页面上。