Laravel 認可（Policy）の反映がうまくいきません

Question

やりたいこと

laravelでpolicyを使った認可処理でつまづいています。
投稿（create）した本人しか更新できない（update）ようにしたいのですが、誰でも更新できるような状態になってしまいます。他の質問者様の内容や記事も参考にしましたが、どうもうまくいっていない状況です。アドバイス等いただければ嬉しいです。

やってみたこと

主に公式ドキュメントを参考にpolicyを作成しています。

ポリシーの生成

ポリシー名はモデル名と同じにするよう、contactFormPolicyとしました。

    /**
     * Determine whether the user can update the model.
     *
     * @param  \App\Models\User  $user
     * @param  \App\Models\ContactForm  $contactForm
     * @return \Illuminate\Auth\Access\Response|bool
     */
    public function update(User $user, ContactForm $contactForm)
    {
        return $user->id === $contactForm->user_id;
    }

ポリシーの登録

namespace App\Providers;

// use Illuminate\Support\Facades\Gate;

use App\Models\ContactForm;
use App\Policies\ContactFormPolicy;
use Illuminate\Foundation\Support\Providers\AuthServiceProvider as ServiceProvider;

class AuthServiceProvider extends ServiceProvider
{
    /**
     * The model to policy mappings for the application.
     *
     * @var array<class-string, class-string>
     */
    protected $policies = [
        // モデル名 => モデルポリシー名
        ContactForm::class => ContactFormPolicy::class
    ];

    /**
     * Register any authentication / authorization services.
     *
     * @return void
     */
    public function boot()
    {
        $this->registerPolicies();

        //
    }
}

アクション認可

contactFormコントローラーのupdateメソッドにauthorizeメソッドを使用して、投稿（create)した同一ユーザーのみ編集（update）できるようにしたつもりです。

   /**
     * Update the specified resource in storage.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  int  $id
     * @return \Illuminate\Http\Response
     */
    public function update(Request $request, $id, ContactForm $contactForm)
    {
        $contact = ContactForm::find($id);
        $contact->name = $request->your_name;
        $contact->title = $request->title;
        $contact->email = $request->email;
        $contact->url = $request->url;
        $contact->gender = $request->gender;
        $contact->age = $request->age;
        $contact->contact = $request->contact;
        $this->authorize('update', $contactForm);　　　//←ここにアクション処理の認可設定
        $contact->save();
        return redirect()
            ->route('contact.index');
    }

結果

考えたこと・思ったこと

今回はuserとcontactformを1対多の関係でリレーションし、ダミーデーターを入れて動かしています。
policy自体は動いてくれてるので、idと紐づいていない可能性があると思っていますがsqlにもデータが入っているので自分でおかしいポイントを把握できていません。

ER図

sql(カラム)

sql（データ）

よろしくお願いします。

ルーティング

Route::group(['prefix'=>'contact','middleware'=>'auth'], function(){
  Route::get('index', [ContactFormController::class ,'index'])->name('contact.index');
  Route::get('create', [ContactFormController::class ,'create'])->name('contact.create');
  Route::post('store', [ContactFormController::class ,'store'])->name('contact.store');
  Route::get('show/{id}/', [ContactFormController::class, 'show'])->name('contact.show');
  Route::get('edit/{id}/', [ContactFormController::class, 'edit'])->name('contact.edit');
  Route::post('update/{id}/', [ContactFormController::class, 'update'])->name('contact.update');
  Route::post('destroy/{id}/', [ContactFormController::class, 'destroy'])->name('contact.destroy');
 });

解決

アドバイスをもとに下記修正したところ、想定通りの動きができました。

ルーティング

アクションを全て記載していたので、resourcesに変更してコードをスッキリしました。

Route::group(['middleware'=>'auth'], function(){
    Route::resource('contact', ContactFormController::class,
);

コントローラーの記載

こちらの記事を参考にフィルを使う場合の記載に変更しました。結局authorizeを使用した方法しか今はわかりませんでしたが、authorizeの第二引数の使い方が良くないことは理解できました。またルーティングをresourceにすると、updateメソッドで$idを使用しないと値をとれませんでした。
ただ、これで投稿ユーザーしか編集ができないように設定することができました！
fillを使ったカラムの登録

 public function update(Request $request, $id)
    {

        $contact = ContactForm::find($id);
        $this->authorize('update', $contact);        //authorizeを使用した認可
        $contact->fill([
                'name' => $request->your_name,
                'title' => $request->title,
                'email' => $request->email,
                'url' => $request->url,
                'gender' => $request->gender,
                'age' => $request->age,
                'contact' => $request->contact,
            ]);
            $contact->save();
            return redirect()
                ->route('contact.index');

Answer 1

コントローラの実装がおかしいです。
ルーティングが提示されていないので、PUTで定義されていることを前提で回答しています。

-    public function update(Request $request, $id, ContactForm $contactForm)
+    public function update(Request $request, ContactForm $contactForm)
    {
-        $contact = ContactForm::find($id);
// name <- your_name と名称違うので、個別に設定しているけど、同じ名前なら
// $contact->fill($request->all())->save(); と書ける 
+        $contact->fill([
+            'name' => $request->your_name,
+            'title' => $request->title,
+            'email' => $request->email,
+            'url' => $request->url,
+            'gender' => $request->gender,
+            'age' => $request->age,
+            'contact' => $request->contact,
+        ]);
-        $contact->name = $request->your_name;
-        $contact->title = $request->title;
-        $contact->email = $request->email;
-        $contact->url = $request->url;
-        $contact->gender = $request->gender;
-        $contact->age = $request->age;
-        $contact->contact = $request->contact;
-        $this->authorize('update', $contactForm);　　　//←AuthServiceProvider にマッピングしているので、これ不要
        $contact->save();
        return redirect()
            ->route('contact.index');
    }

ここから追記

    public function update(User $user, ContactForm $contactForm)
    {
        dd($user, $contactForm); // ここで値を確認する
        return $user->id === $contactForm->user_id;
    }

Comments

[jirou6699]

早速ご回答ありがとうございます。
今回は通常のupdate処理は正しく処理できているんですが、
policyを使って他ユーザーが投稿した内容を勝手に更新できないようにしたいと考えていました。

また、authorizeを入れないと投稿したユーザーとは別のユーザーが編集とするとその判定されず、
認可の処理がされないように思います、どうでしょうか？

ご指摘の通り、下記の通り試しておりますが更新内容が反映されないようになってしまします、、、、、
ご確認いただけますでしょうか？

①ルーティングはPUSTではなく、updateもPOSTで設定していました。
```
Route::group(['prefix'=>'contact','middleware'=>'auth'], function(){
Route::get('index', [ContactFormController::class ,'index'])->name('contact.index');
Route::get('create', [ContactFormController::class ,'create'])->name('contact.create');
Route::post('store', [ContactFormController::class ,'store'])->name('contact.store');
Route::get('show/{id}/', [ContactFormController::class, 'show'])->name('contact.show');
Route::get('edit/{id}/', [ContactFormController::class, 'edit'])->name('contact.edit');
Route::post('update/{id}/', [ContactFormController::class, 'update'])->name('contact.update');
Route::post('destroy/{id}/', [ContactFormController::class, 'destroy'])->name('contact.destroy');
});
```
今回のご指摘を受け、下記のように変更しました。formの中に @method('PUT')も追記しています。
```
Route::put('update/{id}/', [ContactFormController::class, 'update'])->name('contact.update');
```
②コントローラーも下記のように変更しています。
```
public function update(Request $request, ContactForm $contactForm)
{
$contactForm->fill([
'name' => $request->your_name,
'title' => $request->title,
'email' => $request->email,
'url' => $request->url,
'gender' => $request->gender,
'age' => $request->age,
'contact' => $request->contact,
'user_id' => Auth::id(),
]);
$contactForm->save();
return redirect()
->route('contact.index');
}
```

[phper.k]

追記を参考に値を確認してください。
あとルーティングは、
Route::resource(); を使った方がいいですね

[jirou6699]

アドバイスをもとに調べながら解決ができました。ありがとうございました！
ただ下記の部分はまだ理解が浅いためか不要の方法がわからずですので、今後理解を深めていきます。
$this->authorize('update', $contactForm);　//←AuthServiceProvider にマッピングしているので、これ不要