Laravel Gate: простой способ управлять доступом пользователей

В Laravel есть несколько удобных способов контроля прав и разрешений. Один из них — Gate, который позволяет гибко и просто определять, что пользователь может (или не может) сделать в приложении. В этой статье мы разберём, зачем нужен Gate, как его настроить и применять на практике.

Что такое Gate?

В переводе с английского «gate» — это «ворота» или «шлюз». В Laravel под этим термином подразумевается механизм, позволяющий решить: «Пускать» пользователя к определённому действию или «не пускать». Другими словами, он отвечает на вопрос: «Имеет ли пользователь право выполнить это действие?».

Почему стоит использовать Gate?

1. Простая настройка. Всё, что нужно — определить правило в одном месте и использовать его по коду.
2. Гибкость в использовании. Можно проверять доступ к действиям как через класс Gate, так и через методы can()/cannot().
3. Удобство интеграции с Blade. Специальные директивы @can и @cannot позволяют легко показывать или скрывать элементы интерфейса.

Как настроить Gate?

1. Определяем правила доступа

Правила (или "abilities") обычно описываются в файле app/Providers/AuthServiceProvider.php внутри метода boot(). Используя фасад Gate, мы можем определить, например, разрешение на редактирование статей:

use Illuminate\Support\Facades\Gate;
use App\Models\User;
use App\Models\Article;
public function boot()
{
    Gate::define('edit-article', function (User $user, Article $article) {
        // Разрешаем редактировать статью только её автору
        return $user->id === $article->user_id;
    });
}

Теперь у нас есть правило edit-article, которое говорит: «Пользователь может редактировать статью, если он является её автором».

2. Проверяем в контроллере

Предположим, у нас есть метод edit() в ArticleController, который отвечает за показ формы редактирования статьи:

public function edit(Article $article)
{
    // Проверяем, можно ли пользователю редактировать эту статью
    if (Gate::denies('edit-article', $article)) {
        abort(403, 'У вас нет прав для редактирования этой статьи.');
    }
    return view('articles.edit', compact('article'));
}

• Gate::denies('edit-article', $article) вернёт true, если доступ запрещён.
• Аналогично есть метод Gate::allows('edit-article', $article), который вернёт true, если доступ разрешён.

3. Проверяем в Blade

Чтобы скрыть или показать кнопку редактирования в шаблоне, используем директивы @can и @cannot:

<!-- Показываем кнопку только тем, кому разрешено редактировать -->
@can('edit-article', $article)
    <a href="{{ route('articles.edit', $article) }}">Редактировать</a>
@endcan
<!-- Или можно так -->
@cannot('edit-article', $article)
    <p>У вас нет прав на редактирование.</p>
@endcannot

Laravel автоматически подставляет текущего пользователя (auth()->user()) как первый аргумент правила.

Методы can() и cannot()

Иногда удобнее проверять доступ не через Gate, а прямо у пользователя. Для этого у объекта User есть методы can() и cannot():

$user = auth()->user(); // Текущий пользователь
$article = Article::find(1);
if ($user->can('edit-article', $article)) {
    // Можно редактировать
}
if ($user->cannot('edit-article', $article)) {
    // Нельзя редактировать
}

Под капотом это делает ровно то же самое, что и Gate::allows()/Gate::denies(), но иногда код выглядит чуть понятнее, когда мы уже работаем с конкретным пользователем.

Проверка прав для других пользователей

Часто мы проверяем права текущего авторизованного пользователя. Но что, если нужно проверить права другого пользователя? Например, в админ-панели мы хотим понять, может ли определённый пользователь редактировать статью? Тогда у Gate есть метод forUser():

$someUser = User::find(10);   // Другой пользователь
$article = Article::find(5);
if (Gate::forUser($someUser)->allows('edit-article', $article)) {
    echo "Пользователь №10 может редактировать статью №5";
}

Это полезно, когда администратор хочет «примерить» права другого пользователя и понять, какой у него уровень доступа.

Gate vs. Policy: что выбрать?

В Laravel есть ещё один инструмент — Policy (политика). Разница в том, что Gate хорошо подходит, когда нужны одиночные правила, не привязанные к конкретной модели или у нас всего пару проверок. Политики же удобны, если необходимо описать много правил для конкретной модели (например, Article), всё собрать в одном классе. Пример использования Policy:

• Создаём политику командой php artisan make:policy ArticlePolicy.
• Определяем методы view, create, edit, delete и т. д.
• Регистрируем политику в AuthServiceProvider.
• Затем вызываем @can('edit', $article) или $this->authorize('edit', $article). Но многие приложения могут обходиться и обычным Gate без политик, если проверок немного.

Советы по работе с Gate

1. Храните логику доступа в одном месте. Не стоит плодить разбросанные проверки по всему коду — определяйте их централизованно, чтобы не возникало путаницы.
2. Используйте удобные директивы Blade (@can, @cannot, @guest, @auth и т.д.), чтобы код шаблона оставался чистым.
3. Не забывайте про Gate::before(). Если хотите, чтобы администратор получал доступ к любому действию, можно прописать что-то вроде:

   Gate::before(function ($user) {
       if ($user->isAdmin()) {
           return true;
       }
   });
   

   Тогда админ проходит все проверки автоматом.
4. Обрабатывайте отсутствие прав корректно. Вместо простой 500-й ошибки используйте abort(403). Это позволит пользователю (или разработчику) понять, что дело именно в праве доступа.

Заключение

Gate — это простой и гибкий механизм авторизации в Laravel, позволяющий разрулить доступ пользователей к разным частям приложения. Если в вашем проекте много действий, связанных с одной моделью, тогда вам могут пригодиться Policy. Но в большинстве случаев для быстрой и понятной проверки прав Gate — самое то. Надеюсь, эта статья помогла вам разобраться, как правильно настроить и использовать Gate в своих Laravel-приложениях. Если у вас остались вопросы или у вас есть свой опыт, которым вы хотите поделиться, — пишите об этом в комментариях!

Спасибо за внимание и удачи в разработке на Laravel!