Можно ли на уровне middleware проверять роль/доступ пользователя (и что вернуть при запрете)?

Middleware в Laravel предназначены для фильтрации HTTP-запросов и отлично подходят для проверки прав доступа.

Определение

Определение: Middleware — это слой, который обрабатывает HTTP-запрос до или после выполнения контроллера.

Где проверять доступ

Перед началом стоит отметить, что middleware лучше использовать для общих правил доступа, а не для сложной бизнес-логики.

Пример middleware для проверки роли

class CheckRole
{
    public function handle($request, \Closure $next, string $role)
    {
        if (!$request->user() || !$request->user()->hasRole($role)) {
            abort(403);
        }

        return $next($request);
    }
}

Подключение middleware к маршруту

Route::get('/admin', function () {
    // ...
})->middleware('role:admin');

Что возвращать при запрете

• abort(403) — стандартный вариант для API и backend-части

• JSON с ошибкой и кодом 403 — для API

• redirect()->route('login') — если пользователь не авторизован

• redirect()->back() — в простых web-сценариях

Почему middleware — хороший выбор

• Логика доступа централизована

• Контроллеры остаются “чистыми”

• Поведение едино для всех маршрутов

Краткий вывод

Проверку ролей и прав доступа на уровне middleware использовать можно и нужно, если правило общее для маршрута или группы маршрутов, а при запрете корректно возвращать 403 Forbidden или редирект в зависимости от типа приложения.