Políticas de acceso en Laravel con Blade

Contenido del curso

Configuración

Diseño de un foro

Livewire

Optimización

CRUD

Detalles finales

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:008:38

Políticas de acceso en Laravel con Blade

Curso de Laravel

Clase 23 de 25

Clase 23 / 25

Recursos

La autenticación te dice quién entra; la autorización define qué puede hacer cada quien. Si trabajas con Laravel y necesitas controlar acciones como editar o eliminar, las políticas de acceso son la herramienta que te permite separar esa lógica del controlador y reutilizarla en rutas y vistas.

Por qué necesitas autorización además de autenticación en Laravel

Iniciar sesión y eliminar tu propia pregunta tiene sentido, pero permitir que un usuario borre el contenido de otro es justo lo que debes evitar. Aquí entra el concepto de authorization: validar que la acción solicitada pertenezca a quien la ejecuta.

Una primera idea sería escribir un condicional dentro del controlador, comparando si el recurso pertenece al usuario y, en caso contrario, lanzar un error HTTP de acción no autorizada. Funciona, sí, pero te obliga a repetir la misma lógica en cada acción y en cada controlador.

¿Qué es una política de acceso en Laravel? Es una clase que centraliza las reglas de autorización para un modelo. En lugar de repetir condicionales, defines métodos como update o delete que retornan true o false según si el usuario tiene permiso.

Cómo crear una policy con Artisan para tu modelo

La creación de una política se hace desde la terminal con un solo comando [02:15]. Ejecutas php artisan make:policy seguido del nombre asociado al modelo, en este caso al sistema de preguntas, y Laravel genera el archivo correspondiente.

Dentro de esa clase defines acciones específicas. En el ejemplo se trabajan dos:

Un método delete que recibe al usuario y a la pregunta, y retorna true si la pregunta le pertenece.
Un método update con la misma lógica de pertenencia.
Un segundo parámetro que recibe la instancia del modelo, no un ID, para que Laravel resuelva la relación automáticamente.

La condición es directa: si el user_id de la pregunta coincide con el del usuario autenticado, la acción se autoriza.

Cómo conectar la política con el sistema de rutas

Laravel ofrece una palabra reservada que activa la política desde las rutas. Al definir la acción de actualizar o eliminar, agregas el middleware con el nombre del método y el modelo como argumento.

El flujo queda así:

El sistema verifica si estás autenticado.
Verifica si tienes permiso para ejecutar la acción.
Ejecuta el procedimiento solo si ambas respuestas son afirmativas.

Al probarlo, eliminar una pregunta propia funciona sin problema, pero al intentar borrar la de otro usuario el sistema responde con no estás autorizado para hacer esta acción. Esa es la señal de que la policy está activa.

Cómo ocultar botones según permisos con directivas Blade

Dejar visibles los botones de editar y eliminar en contenido ajeno resulta tentador y confuso. La buena noticia es que Laravel incluye directivas Blade que evalúan la misma política desde la vista.

En el archivo resources/views/preguntas/show envuelves los botones con dos directivas clave:

@can('update', $pregunta) muestra el botón de editar solo si la política lo permite.
@can('delete', $pregunta) hace lo mismo con el botón de eliminar.
La condición evaluada es exactamente la que definiste en la policy.

El resultado es inmediato: en preguntas ajenas los botones desaparecen y solo queda disponible la opción de responder. En las propias, vuelven a aparecer.

¿Para qué sirve la directiva @can en Blade? Evalúa una política antes de renderizar un bloque de la vista. Si el usuario no tiene permiso, el contenido no se muestra, evitando que vea acciones que no puede ejecutar.

Cómo agregar lógica adicional a una policy según el estado del recurso

La autorización no siempre depende solo de la propiedad. A veces el estado del recurso también importa. Imagina una pregunta que ya tiene respuestas: editarla podría cambiar el sentido de toda la conversación y dejar respuestas sin coherencia.

Para cubrir ese escenario, dentro del método update de la policy puedes encadenar más condiciones. La lógica que se aplica combina dos verificaciones:

Que la pregunta pertenezca al usuario autenticado.
Que la pregunta no tenga respuestas ni comentarios asociados.

Se usa un operador lógico para unir ambas reglas y se retorna el resultado. Si la pregunta es tuya pero ya recibió interacción, el botón de editar desaparece automáticamente.

Qué pasa cuando el recurso ya tiene interacción

Al probarlo en el proyecto, una pregunta nueva sin respuestas permite editarse sin restricción. En el momento en que alguien deja un comentario o una respuesta, el botón se oculta y, si intentas forzar la acción, recibes el mensaje esta acción no está autorizada.

La eliminación, en cambio, sigue habilitada porque la regla aplicada en delete solo evalúa la propiedad. Cada acción puede tener su propio nivel de exigencia dentro de la misma policy.

Controlar lo que cada usuario puede hacer es una práctica básica de cualquier sistema profesional. Como reto, replica esta misma lógica en el módulo de blog y comparte en los comentarios cómo resolviste las reglas de edición y eliminación.

Resumen

Por qué necesitas autorización además de autenticación en Laravel

¿Qué es una política de acceso en Laravel? Es una clase que centraliza las reglas de autorización para un modelo. En lugar de repetir condicionales, defines métodos como update o delete que retornan true o false según si el usuario tiene permiso.

Cómo crear una policy con Artisan para tu modelo

Dentro de esa clase defines acciones específicas. En el ejemplo se trabajan dos:

Un método delete que recibe al usuario y a la pregunta, y retorna true si la pregunta le pertenece.
Un método update con la misma lógica de pertenencia.
Un segundo parámetro que recibe la instancia del modelo, no un ID, para que Laravel resuelva la relación automáticamente.

La condición es directa: si el user_id de la pregunta coincide con el del usuario autenticado, la acción se autoriza.

Cómo conectar la política con el sistema de rutas

El flujo queda así:

El sistema verifica si estás autenticado.
Verifica si tienes permiso para ejecutar la acción.
Ejecuta el procedimiento solo si ambas respuestas son afirmativas.

Cómo ocultar botones según permisos con directivas Blade

Dejar visibles los botones de editar y eliminar en contenido ajeno resulta tentador y confuso. La buena noticia es que Laravel incluye directivas Blade que evalúan la misma política desde la vista.

En el archivo resources/views/preguntas/show envuelves los botones con dos directivas clave:

@can('update', $pregunta) muestra el botón de editar solo si la política lo permite.
@can('delete', $pregunta) hace lo mismo con el botón de eliminar.
La condición evaluada es exactamente la que definiste en la policy.

El resultado es inmediato: en preguntas ajenas los botones desaparecen y solo queda disponible la opción de responder. En las propias, vuelven a aparecer.

¿Para qué sirve la directiva @can en Blade? Evalúa una política antes de renderizar un bloque de la vista. Si el usuario no tiene permiso, el contenido no se muestra, evitando que vea acciones que no puede ejecutar.

Cómo agregar lógica adicional a una policy según el estado del recurso

Para cubrir ese escenario, dentro del método update de la policy puedes encadenar más condiciones. La lógica que se aplica combina dos verificaciones:

Que la pregunta pertenezca al usuario autenticado.
Que la pregunta no tenga respuestas ni comentarios asociados.

Se usa un operador lógico para unir ambas reglas y se retorna el resultado. Si la pregunta es tuya pero ya recibió interacción, el botón de editar desaparece automáticamente.

Qué pasa cuando el recurso ya tiene interacción

La eliminación, en cambio, sigue habilitada porque la regla aplicada en delete solo evalúa la propiedad. Cada acción puede tener su propio nivel de exigencia dentro de la misma policy.

Comentarios (2)2 comentarios

Pablo Rojas

Hace un año

Cuál sería la diferencia entre policy y middleware?

Francisco Andres Ortega Florez

Middleware: para verificar si el usuario está autenticado o tiene acceso general.

Policy: para saber si puede realizar una acción concreta sobre un modelo.

Angel David Franco Villaseñor

el middleware se procesa antes de ejecutar la funcion destino de tu aplicacion, ejemplo si quieres eliminar un elemento, pero este se invoca desde la ruta, mientras que la politica se invoca previo a realizar una accion, a simple vista es algo muy similar pero los middlewares te sirven para un comportamiento global de tu aplicacion, mientras que las poilicis son particulares de cada usuario, como una regla global que aplica particularmete a cada usuario, y estas policis se pueden confiurar de mejor manera

Espero haber resuelto tu duda y no enredarte mas jajaja

Kenneth Angulo L

La clase es sobre politicas, pero quiero dejar por aqui una explicacion sobre os middlewares para hacer mas claridad.

Asi se pueden represantar los middlewares, son como capas de cebolla, y la respuesta de uno es la entrada del otro.

Los middlewares interceptan las peticiones antes que llegen al controller.

Los middlewares existen en dos sabores:

Configuración

Desarrollo de foro interactivo con Laravel y LiveWire

Instalación de Laravel con kit de inicio LiveWire

Creación de modelos, migraciones y factories en Laravel

Creación de datos falsos para pruebas con factories y seeders

Diseño de un foro

Flujo completo de Laravel: ruta, controlador, modelo y vista

Diseño home en Laravel con Tailwind CSS

Desarrollo de página de detalles con rutas dinámicas en Laravel

Creación de componentes Blade para plantillas reutilizables en Laravel

Pregunta con respuestas dinámicas en Laravel

Relaciones polimorfas para comentarios en Laravel

Livewire

Primer componente Livewire con comentarios

Guardar comentarios en tiempo real con Livewire

Formulario para responder preguntas en Laravel

Botón de corazón reactivo con Livewire

Optimización

Refactorización de componentes Livewire y optimización con Traits

Eliminar preguntas y datos huérfanos en Laravel

Eliminación en cascada desde el modelo Laravel

Cómo eliminar el problema N+1 en Laravel

CRUD

Cómo crear el index del foro en Laravel

Crear preguntas en un foro con Laravel

Formulario de edición con rutas edit y update

Detalles finales

Control de acceso con middleware en Laravel

Políticas de acceso en Laravel con Blade

Separación de responsabilidades en controladores Laravel

URLs limpias con slugs en Laravel

Políticas de acceso en Laravel con Blade