做后端开发的你，是不是也被 “权限管理” 搞得头大？

写接口时，要反复判断 “用户有没有访问权限”“角色能不能操作这个资源”；改需求时，加一个新权限就要改一堆代码，还容易漏判、错判；对接不同项目时，权限逻辑又要重新写一遍，重复劳动没完没了……

在 Laravel 项目开发中，权限管理是保证应用安全的关键环节。虽然 Laravel 自带了 Gate 和 Policy 授权机制，但在面对复杂权限需求时往往力不从心。今天介绍的是基于 Casbin 的 Laravel-authz 库，它能帮助你在 Laravel 项目中实现 RBAC（基于角色的访问控制）、ABAC（基于属性的访问控制）等高级权限模型。

PHP-Casbin 是一个强大的、支持多种访问控制模型的开源授权库，它支持ACL、RBAC、ABAC等多种访问控制模型。

今天想和大家聊聊这个陪伴我从 “个人侧写” 到 “企业级解决方案” 的开源项目，一个让 PHP 开发者不用再为权限控制 “重复造轮子” 的工具。

从 2018 年发布第一个版本，到现在 GitHub 1.3k + Star，PHP-Casbin的成长，其实是无数 PHP 开发者 “权限痛点” 的解决方案集合。

如果你也曾在项目里写过if($role == 'admin')的硬编码，或是为多租户权限隔离挠破头，那这篇文章，或许能给你一个更优雅的答案。

曾经接手过一个电商 SaaS 项目的权限重构。当时的代码让我至今印象深刻：100 多个控制器里，每个方法都嵌着权限判断逻辑，比如订单列表页要写“管理员看所有、商家看自己的、客服看分配的”，光是这一段逻辑，在不同模块里重复了 20 多次。

在当今复杂的Web应用中，精细化的权限管理是保障系统安全的关键环节。PHP-Casbin 作为Casbin生态的PHP实现，凭借其灵活的模型支持和强大的扩展能力，已成为PHP开发者实现访问控制的首选工具。

PHP-Casbin 基于PERM（Policy/Effect/Request/Matcher）模型，抽象出通用的访问控制框架。

Casbin 是一个高效强大的开源访问控制框架，它支持 ACL、RBAC、ABAC 等多种模型。

Model，即模型，是 Casbin 的一个重要组成部分，模型的定义简单而复杂，且充满学问。Model 的作用，是对权限模型的定义，例如：acl、rbac、abac 等权限模型。

模型配置主要有五个部分：[request_definition]，[policy_definition]，[role_definition]，[policy_effect] 和 [matchers]，分别表示请求定义、策略定义、角色定义、策略效果定义、匹配器，其中 [role_definition] 角色定义是用于基于角色的模型（RBAC），支持用 # 开头表示注释。

[request_definition]
r = sub, obj, act

优先级模型，所谓优先级，是指按一定的顺序加载策略。

优先级高的策略先加载，先加载的策略具有较高的优先级。

PHP-Casbin 目前支持三种模式：隐式优先顺序加载策略、显示优先顺序加载策略、基于角色和用户的层级关系加载策略。

PHP-Casbin 是一个非常流行的权限控制框架，支持ACL RBAC ABAC 等权限控制模型。

它使用 Matcher 中配置的表达式来做权限决策，不仅提供了非常多的内置函数，而且还可以在Matcher中指定自定义函数。

如果你的项目还有没有引入Casbin依赖，则需要安装一下：

composer require casbin/casbin

PHP-Casbin 是一个用 PHP 语言打造的轻量级开源访问控制框架（ https://github.com/php-casbin/php-casbin )，目前在 GitHub 开源。PHP-Casbin 采用了元模型的设计思想，支持多种经典的访问控制方案，如基于角色的访问控制 RBAC、基于属性的访问控制 ABAC 等。