Roles y Permisos

public function hasPermission($permissionName)
{
    // Admin (rol_id = 1) tiene todos los permisos
    if ($this->rol_id == 1) {
        return true;
    }
    
    return $this->rol && $this->rol->hasPermission($permissionName);
}

public function handle(Request $request, Closure $next, string $permission): Response
{
    $user = $request->user();

    // Si no hay usuario autenticado, denegar acceso
    if (!$user) {
        return response()->json([
            'success' => false,
            'message' => 'No autenticado'
        ], 401);
    }

    // Admin (rol_id = 1) tiene acceso a todo
    if ($user->rol_id == 1) {
        return $next($request);
    }

    // Verificar si el usuario tiene el permiso
    if (!$user->hasPermission($permission)) {
        return response()->json([
            'success' => false,
            'message' => 'No tienes permiso para realizar esta acción'
        ], 403);
    }

    return $next($request);
}

// Proteger ruta con permiso específico
Route::get('ventas', [VentasController::class, 'index'])
    ->middleware('permission:ventas.view');

Route::post('ventas', [VentasController::class, 'store'])
    ->middleware('permission:ventas.create');

Route::delete('ventas/{id}', [VentasController::class, 'destroy'])
    ->middleware('permission:ventas.delete');