toratoda

Если это API то в запросе следует передавать токен (например в заголовке: "Authorization: Bearer токен") а по нему однозначно идентифицировать пользователя. Например вы можете рассмотреть схему JWT.
Если же нет то пользователь обычно идентифицируется при помощи сессии.

все почти так. два нюанса:
1. каждый шаг в цикле делать два запроса на регион и тип это не хорошо : слишком много запросов. Решение: обойди в цикле данные выбери все уникальные значения для регионов и типов и в двух запросов получи все нужные регионы и типы (а потом оперируй этими данными).
2. делать операцию вставки на каждый шаг тоже не хорошо : слишком много запросов. Решение: сформируй массив со всеми данными для вставки и выполните запрос вставки к базе данных.

примечание: следует оценить объем данных и если он очень большой то его нужно разбить на части

не гоже через ссылки таскать параметр по всему сайту. Положи его в куку или локальное хранилище и извлеки когда потребуется.

Если я понял правильно твою идею, то тебе требуется полиморфная связь:

Schema::create('access_file_user_file_category_user_category', function (Blueprint $table) {
            $table->id();
            $table->morph('who');
            $table->morph('what');
            $table->enum('access', ["allow", "disallow"]);
            $table->timestamps();
        });

в who ты будешь присваивать либо модель пользователя, либо модель категории пользователя;
в what по аналогии будешь присваивать либо модель файла, либо модель категории файлов.

Так можно загрузить массив с скриншота.

$data = [
    'фирма 1' => [
        'модель 1.1',
        'модель 1.2',
    ],
    'фирма 2' => [
        'модель 2.1',
        'модель 2.2',
    ],
];


foreach ($data as $firm_name => $models) {
    $firm = new Firm();
    $firm->name = $firm_name;
    $firm->save();

    $firm->models()->saveMany(array_map(function(string $model_name) {
        $model = new Model();
        $model->name = $model_name;
        return $model;
    }, $models));
}

Желательно делать все это одной транзакцией чтоб не было битых данных. Если данных очень много то следует загружать их частями.
По схеме БД: я бы посоветовал устройство связывать с моделью, а не с фирмой . потому что у тебя может быть intel процессор и intel видеокарта, но не может быть видеокарты Core i9...

У посредника App\Http\Middleware\VerifyCsrfToken есть свойство $except в нем можно указать роуты для которых следует исключить сsrf проверку