Laravel 的 AuthorizationException 默认不渲染自定义 403 视图，需在 Handler.php 的 render() 中显式捕获并返回 response()->view('errors.403', [], 403)。
为什么 403 页面没走自定义视图？
默认情况下，Laravel 遇到授权失败（如 Gate::denies() 或策略拒绝）时，会抛出 Illuminate\Auth\Access\AuthorizationException，但这个异常**不被 App\Exceptions\Handler 中的 render() 默认捕获为 HTTP 状态码 403 的渲染逻辑**——它会被当成通用异常，最终返回空白页或调试堆栈（开发环境）/ 500 响应（生产环境）。
关键点：Laravel 不自动将 AuthorizationException 映射到 resources/views/errors/403.blade.php，除非你显式干预。
-
resources/views/errors/403.blade.php只对真实 HTTP 403 响应生效（比如中间件直接abort(403)） - 策略拒绝、
@can指令失败、authorize()方法抛出的异常，默认不触发该视图 - 必须在
app/Exceptions/Handler.php中重写异常映射逻辑
如何让 Policy 拒绝自动渲染 403.blade.php
在 app/Exceptions/Handler.php 的 render() 方法中，判断是否为 AuthorizationException，并主动返回 403 响应 + 视图：
public function render($request, Throwable $exception)
{
if ($exception instanceof \Illuminate\Auth\Access\AuthorizationException) {
return response()->view('errors.403', [], 403);
}
return parent::render($request, $exception);
}
注意：response()->view() 不会触发错误视图自动查找机制，所以必须写全路径 'errors.403'；若用 abort(403) 替代，则会自动走 resources/views/errors/403.blade.php，但会丢失原始异常上下文（比如想记录被拒的策略名）。
- 不要用
return abort(403)—— 它会再次抛出异常，可能造成无限循环 - 确保
resources/views/errors/403.blade.php文件存在，且不含语法错误（否则 fallback 到 500） - 若使用 Sanctum / Passport，API 请求应返回 JSON，此时需额外判断
$request->expectsJson()并返回response()->json(..., 403)
Policy 中抛出异常 vs 返回布尔值，哪种更可控？
在 Policy 方法里，直接 return false 是最轻量的做法，但无法区分“无权限”和“未登录”；而 throw new AuthorizationException() 能统一由 Handler 处理，便于日志、审计或跳转。
推荐写法（Policy 内）：
public function update(User $user, Post $post)
{
if (! $user->hasRole('editor')) {
throw new \Illuminate\Auth\Access\AuthorizationException('Only editors may update posts.');
}
return $user->id === $post->user_id;
}
- 避免在 Policy 中调用
abort(403)—— 它绕过 Exception Handler，无法复用日志或响应定制逻辑 - 若需差异化提示（如“请先验证邮箱”），可在异常消息中编码类型，Handler 中解析后传入视图
- Controller 中调用
$this->authorize('update', $post)会自动抛出AuthorizationException，无需手动 throw
中间件里 abort(403) 为什么有时不显示自定义页面？
常见于自定义中间件中写了 abort(403) 却仍看到空白页或 500，原因通常是：
- 中间件执行顺序问题：在
StartSession或ShareErrorsFromSession之前 abort，导致视图无法读取 session 数据（比如 flash message） - 在 API 路由组中使用了
api中间件组（含throttle:api），其默认不启用 session，errors.403视图中若引用了session()或$errors会报错 - 视图中用了未发布的辅助函数或未引入的组件（如
@vite在非前端路由下不可用）
验证方式：临时在 403.blade.php 顶部加 ，看源码是否输出；若没有，说明根本没进这个视图，而是被更上层异常拦截了。
Laravel 的 403 处理本质是两层解耦：Policy/授权逻辑负责「决定」，Handler 负责「表达」。漏掉 Handler 中的映射，再完善的 Policy 也只会在日志里留下一行 AuthorizationException。
