在Laravel中为我们提供了一种简单的方式来处理用户授权动作主要有两种方式Gates和Policy(策略)，可以将其类比路由器（Gates）和控制器（Policy）Gates提供了一个简单的基于闭包的方式来进行授权認证，而Policy在特定的模型或资源中通过分组来实现授权认证的逻辑
这两种方式都能进行用户权限认证但Gates一般用于与模型和资源无关的地方，如查看管理员后台而Policy则用于特定的模型或者资源中

Gates是用来决定用户是否被授权执行给定的动作的闭包函数，并且典型的做法是在App\Providers\AuthServiceProvider类中使用Gate门面定义

Gates闭包函数接受两个参数
第二个参数：(可选)如相关的Eloquent模型
在boot方法中 判断用户是否有权限更新当前文章，返回true/false

同样Gates也是使用class@method的風格回调字符串来定义如

我们还可以使用 resource方法一次性定义多个Gate功能；像资源控制器那样

我们还可以传递第三个参数给resource方法,来可以覆盖或添加新动作但应该以数组的方式

键：授权动作名值：动作对应的方法 如

使用Gates来授权动作时，应该使用allows或deies方法这里你并不需要传递当前认證通过的用户给这些方法,，Laravel会自动处理好传入的用户然后传递给Gate闭包函数

这里是判断當前登录用户的权限，如果你想指定一个特定用户的权限可以通过Gate门面的forUser方法,传入用户实例

注册了策略后我们可以为每个授权的动作添加方法，如
在PostPolicy中定义一个update方法在这个方法中判断用户是否可以更新某篇文章
update方法接受两个参数，User和Post实例并且返回值为true或false以此来判断用戶是否可以更新谋篇文章

一些策略方法只接受当前认证通过的用户作为参数，而不用传入相关模型实例如create动作
当创建一篇博客时，我们需要检测用户是否有权限创建博客

如果你想通过策略指定一个特定用户的获取所有权限可以在策略中定义一个before方法,before方法会在策略的其他方法之前执行

相对的，拒绝用户所有权限返回false

Laravel内置额User模型包含2个方法来获取授权动作can和cant。can方法需要指定授权的动作和相关的模型如判斷一个用户是否授权更新指定的Post模型

 dump('当前用户可以更新文章');
 
 dump('当前用户不能更新文章');

注意：can 方法不能静态调用

使用can/cant方法有两种情况
1.指定模型與对应策略建立了映射关系：这种情况can/cant方法会自动调用策略方法并返回布尔值
2.指定模型与对应策略没有建立映射关系：这种情况can/cant方法会尝試调用和动作名相匹配的基于闭包的Gate

不指定模型的授权动作 一些动作，如create并不需要指定模型实例在这种情况下，可传递一个类名给can方法当授权动作时，这个类名用于判断使用的是哪个策略

上述代码中我们调用中间件can并传递了两个参数第一个为需要授权的动作名，第二個参数是模型实例由于这里使用了隐式模型绑定，所以Post会传递到策略方法中当用户不具备权限时，中间件会生成带有403状态码的HTTP响应

除叻在User模型中提供辅助方法外Laravel也为所有继承了App\Http\Controllers\Controller基类的控制器提供了一个有用的authorize方法。和can方法类似这个方法接收需要授权的动作和相关的模型作为参数，如果动作不被授权authorize方法会抛出Illuminate\Auth\

当用户没有权限，抛出异常

当你不用指定模型实例需要传递一个类名给authorize方法

当编写Blade模板時，你可能希望模板或者模板的区域只展示给有相关权限的用户查看

还和上面一样 传入类名即可