laravel-security

Topics in the source

• Laravel セキュリティベストプラクティス
• アクティベートする時機
• 仕組み
• コアセキュリティ設定
• セッションとクッキーの強化
• 認証とトークン
• パスワードセキュリティ
• 認可：ポリシーとゲート

Laravel アプリケーションを一般的な脆弱性から守るための包括的なセキュリティガイダンス。 認証または認可を追加する場合 ユーザー入力とファイルアップロードを処理する場合 新しい API エンドポイントを構築する場合 シークレットと環境設定を管理する場合 本番環境デプロイメントを強化する場合 ミドルウェアは基本的な保護を提供（CSRF は VerifyCsrfToken 経由、セキュリティヘッダーは SecurityHeaders 経由） ガードとポリシーがアクセス制御を実施（auth:sanctum、$this->authorize、ポリシーミドルウェア） フォームリクエストが入力を検証し形成（UploadInvoiceRequest）サービスに到達する前に レート制限が不正使用保護を追加（RateLimiter::for('login')）認証制御と並行して データの安全性は暗号化されたキャスト、一括割当ガード、署名付きルート（URL::temporarySignedRoute + signed ミドルウェア）から来ます APPDEBUG=false を本番環境で設定 APPKEY をセットして、漏洩時にはローテーション必須 SESSIONSECURECOOKIE=true と SESSIONSAMESITE=lax（または機密アプリケーションは strict）を設定 正しい HTTPS 検出のため、信頼できるプロキシを設定 SESSIONHTTPONLY=true を設定して JavaScript アクセスを防止 高リスクフローに対して SESSIONSAMESITE=strict を使用 ログイン時と権限変更時にセッションを再生成 Laravel Sanctum または Passport を API 認証に使用 機密データの場合、有効期限の短いトークンとリフレッシュフローを優先 ログアウトと侵害されたアカウントでトークンを無効化 ルート保護例： Hash::make() でパスワードをハッシュし、平文で保存しない パスワードリセットフロー用に Laravel のパスワードブローカーを使用 モデルレベルの認可にはポリシーを使用 コントローラーとサービスで認可を実施 ルートレベルの実施にはポリシーミドルウェアを使用： フォームリクエストで常にユーザー入力をバリデーション 厳密なバリデーションルールと型チェックを使用 リクエストペイロードを派生フィールドに信頼しない $fillable または $guarded を使用して、Model::unguard() は回避 DTO またはかば詰明示的な属性マッピングを優先 Eloquent またはクエリビルダーのパラメータバインディングを使用 厳密に必要でない限り生 SQL を回避 Blade は標準で出力をエ

This is an excerpt. Refer to the complete source and its current requirements.