题主可以看下Laravel-RBAC

回到题主问题：权限列表和角色列表是不是预定义的

回答肯定是否定的;

使用laravel的rbac-package为例：

创建一个角色

$adminRole = new Role;
$adminRole->name = 'Administrator';
$adminRole->slug = 'administrator';
$adminRole->description = 'System Administrator';
$adminRole->save();

分配角色,你可以将一个或多个角色分配给任何一个用户

$user = User::find(1);
$user->roles()->attach($adminRole->id);

设置权限

$createUser = new Permission;
$createUser->name = 'Create user';
$createUser->slug = 'user.create';
$createUser->description = 'Permission to create user';
$createUser->save();

你可以在中间件中控制访问对象，你也可以在页面局部控制访问对象