Laravel 9 如何显示已审核评论

本文深入讲解了在 Laravel 9 中如何安全、可靠地实现“仅向普通用户展示已审核评论”的核心功能，直击常见漏洞——如直接使用 `Comment::all()` 导致未审核数据泄露，并提供从基础查询改造（`where('verified_status', 1)`）到高阶工程实践（模型作用域、创建钩子强制默认值、移除表单中敏感字段、权限隔离路由与数据库索引优化）的完整解决方案，强调“过滤必须前置服务端、验证必须收紧模型层、权限必须明确边界”的设计原则，助你构建既符合业务逻辑又具备生产级安全与可维护性的评论系统。

本文介绍如何在 Laravel 9 应用中实现「仅向普通用户展示已审核（verified_status = 1）的评论」，核心是修改查询逻辑、确保数据安全过滤，并兼顾前端一致性与可维护性。

本文介绍如何在 Laravel 9 应用中实现「仅向普通用户展示已审核（verified_status = 1）的评论」，核心是修改查询逻辑、确保数据安全过滤，并兼顾前端一致性与可维护性。

在构建带审核机制的评论系统时，必须严格区分用户角色的数据可见性：普通用户只能查看管理员已批准的评论（verified_status = 1），而未审核（0）或拒绝（如 2）的评论应完全对其隐藏。当前代码中 fetchCommentUser() 方法使用 Comment::all() 获取全部评论，存在严重安全隐患和业务逻辑漏洞。

✅ 正确做法：服务端强制过滤

只需将 CommentController@fetchCommentUser 方法中的查询语句从：

$comments = Comment::all();

替换为带条件的 Eloquent 查询：

public function fetchCommentUser()
{
    $comments = Comment::where('verified_status', 1)->get();

    return response()->json([
        'comments' => $comments,
    ]);
}

该写法利用 Laravel 的查询构造器，在数据库层面直接筛选，不依赖前端传参或 JS 判断，从根本上杜绝未授权数据泄露风险。

? 进阶优化建议（推荐实践）

1. 使用查询作用域（Scope）提升可复用性

在 Comment 模型中定义本地作用域，使逻辑更清晰、更易复用：

// app/Models/Comment.php
public function scopeVerified($query)
{
    return $query->where('verified_status', 1);
}

控制器中即可简洁调用：

$comments = Comment::verified()->get();

2. 统一验证规则与默认值

当前 storeUser() 方法中手动设 verified_status = 0 存在隐患（如字段被恶意提交为 1）。应移除表单中对 verified_status 的接收，并在模型层强制约束：

// 在 Comment 模型中添加 $fillable 和默认值
protected $fillable = [
    'comment_body', 'first_name', 'last_name', 'email',
    'comment_tone', 'comment_type'
];

protected static function boot()
{
    parent::boot();
    static::creating(function ($comment) {
        $comment->verified_status = 0; // 新评论默认待审
    });
}

同时，更新表单验证规则，移除 verified_status 字段校验（避免用户伪造）：

'comment_body' => 'required|string|max:1000',
'first_name'   => 'required|string|max:50',
'last_name'    => 'required|string|max:50',
'email'        => 'required|email|max:100',
'comment_tone' => 'required|in:0,1',
'comment_type' => 'required|in:CO,RO',
// ❌ 删除 'verified_status'=>'required'

3. 前端一致性处理（可选但推荐）

虽然服务端已过滤，但为避免用户困惑，可在 Blade 模板中隐藏“审核状态”列（或仅对管理员显示）：

@if(auth()->user()->hasRole('admin'))
    Verified Status
@endif

并在 JS 渲染表格时同步适配：

// 在 $.each 循环中，仅当有 verified_status 字段才渲染（或始终不渲染给普通用户）
{{ item.verified_status === 1 ? 'Yes' : 'Pending' }}

⚠️ 注意事项

• 绝不信任客户端输入：verified_status 必须由后端控制，禁止通过表单提交或 URL 参数设置；
• 权限分离：管理员应通过独立路由（如 /admin/comments/approve/{id}）执行审核操作，普通用户无权修改该字段；
• 数据库索引优化：为 verified_status 字段添加数据库索引，提升高频查询性能：

  php artisan make:migration add_index_to_comments_verified_status

  并在迁移中添加：

  $table->index('verified_status');

通过以上改造，你的评论系统即可安全、高效、可维护地实现「用户仅见已审核评论」的核心需求。关键原则始终是：过滤逻辑前置到服务端，验证逻辑收紧到模型层，权限边界明确到路由与中间件。

今天带大家了解了的相关知识，希望对你有所帮助；关于文章的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~