在 laravel 中，无法直接在控制器构造函数的 `can` 中间件里动态传入请求数据（如 `request->parent`），但可通过 `request()` 辅助函数在策略方法内部安全获取请求参数，实现基于动态输入（如 parent_id）的细粒度授权。
Laravel 的授权中间件（如 can:view,App\Models\Photo）在控制器构造函数中注册时，其参数必须是可序列化、静态可解析的值（如类名、字符串、整数），而请求对象（$request）在构造函数执行时尚未注入，且其内容无法被中间件解析器动态提取——因此类似 $this->middleware(['can:store,App\Models\Photo,request->parent'], ...) 的写法语法错误且不可行。
✅ 正确解法：将逻辑“后移”至策略方法内部，利用 Laravel 全局 request() 辅助函数访问当前请求数据：
// 在 PhotoPolicy.php 中
public function store(User $user): bool
{
// ✅ 安全获取请求参数（注意：确保字段存在并校验）
$parentId = request()->input('parent_id');
if (!$parentId) {
return false;
}
$parent = \App\Models\Parent::find($parentId);
return $parent && $user->id === $parent->user_id;
}同时，控制器构造函数中只需声明基础授权规则，无需传递动态参数：
// 在 PhotoController.php 构造函数中
public function __construct()
{
$this->middleware(['can:viewAny,App\Models\Photo'])->only(['index']);
$this->middleware(['can:view,App\Models\Photo'])->only(['show']);
$this->middleware(['can:store,App\Models\Photo'])->only(['store']); // ✅ 仅需模型类名
}⚠️ 注意事项：
- request() 在策略方法中可用，因为策略由 Laravel 授权系统在请求生命周期中（路由已匹配、请求已注入后）调用，此时 request() 已就绪；
- 务必对 request()->input() 返回值做空值/有效性校验（如 parent_id 是否存在、是否为正整数），避免 find(null) 或 SQL 异常；
- 若需更高安全性或更复杂参数解析（如嵌套字段、文件上传关联），建议在控制器 store 方法中先验证并提取关键 ID，再显式调用 $this->authorize('store', [$parent]) —— 但此方式不适用于构造函数中间件场景；
- 策略方法签名保持简洁（如仅接收 User $user），有利于测试与复用；所有动态上下文应通过 request() 或依赖注入的服务（如 Request $request）获取。
总结：构造函数中的 can 中间件不支持运行时请求参数插值，但策略本身拥有完整的请求上下文访问能力。善用 request() 是实现动态授权的关键桥梁，既保持中间件声明式简洁性，又不失业务逻辑灵活性。
