affaan-m/laravel-security

Laravel 中的安全最佳实践，涵盖身份认证/授权、验证、CSRF、批量赋值、文件上传、密钥、限流与安全部署。

编程协作开发 Agent Agent 技能调研 skill agent-skill laravel security affaan-m ECC ai-agent

技术栈: cursor24万+许可证: MIT开发者: affaan-m

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Laravel 安全最佳实践

用于保护 Laravel 应用、抵御常见漏洞的完整安全指南。

何时启用

新增身份认证或授权机制
处理用户输入和文件上传
构建新的 API 端点
管理密钥与环境配置
加固生产环境部署

工作原理

中间件提供基础防护（通过 VerifyCsrfToken 实现 CSRF 防护，通过 SecurityHeaders 设置安全响应头）。
Guards 与 policies 实施访问控制（auth:sanctum、$this->authorize、policy 中间件）。
Form Request 在请求进入服务层之前进行验证与数据塑形（如 UploadInvoiceRequest）。
限流在身份认证等环节之外提供滥用防护（RateLimiter::for('login')）。
数据安全依赖于加密 casts、批量赋值 guard 以及签名路由（URL::temporarySignedRoute 配合 signed 中间件）。

主要安全配置

生产环境设置 APP_DEBUG=false
必须设置 APP_KEY，并在发生泄露时进行轮换
设置 SESSION_SECURE_COOKIE=true 与 SESSION_SAME_SITE=lax（对敏感应用使用 strict）
配置可信代理，确保正确识别 HTTPS

会话与 Cookie 加固

设置 SESSION_HTTP_ONLY=true，防止通过 JavaScript 访问
对高风险流程使用 SESSION_SAME_SITE=strict
在登录以及权限变更时重新生成会话

身份认证与令牌

使用 Laravel Sanctum 或 Passport 实现 API 身份认证
对敏感数据优先使用短期令牌并配合刷新流程
在登出及账户泄露时吊销令牌

路由保护示例：

use Illuminate\Http\Request;
use Illuminate\Support\Facades\Route;

Route::middleware('auth:sanctum')->get('/me', function (Request $request) {
    return $request->user();
});

密码安全

使用 Hash::make() 对密码进行哈希处理，绝不存储明文
使用 Laravel 的 password broker 实现密码重置流程

use Illuminate\Support\Facades\Hash;
use…

重要提示：源文件不在本站托管，请通过 GitHub 查看与下载。

索引更新于 8/25/2026, 9:18:05 PMGitHub ↗

SKILL.md8.1 KB在 GitHub 查看 ↗

相关资源

按类型、任务、场景与标签加权推荐

itsPremkumar/mcptest

MCP · Model · Context · Protocol · 测试工具 · 调试 · 开发框架

Automated MCP Server Testing Framework

yair4Data/mcp-security-analyzer

MCP · 安全审计 · 配置扫描 · 权限分析 · 开发工具

Comprehensive security testing framework for Model Context Protocol (MCP) server

Web Search Agents by Nimble

web · search · real-time · data · AI · agent · scraping · structured

网络搜索代理是针对您特定领域（例如公司信息丰富、法规研究等）的专业网络爬虫和研究代理。它们会自主学习您的使用场景，深入挖掘对您最重要的资源，从而为您的 AI 提供更深入、更相关的网络上下文

Demovanta

AI · Agent · 演示平台 · 评测 · 开发工具

。只需粘贴URL，一个真实浏览器就会打开你的网页，模拟浏览操作，并用你的母语旁白讲解屏幕上的内容

Krevios

AI代理 · 企业自动化 · 研究 · 工作流

你可以生成与编辑图像、制作视频、合成文本与排版——全程只需以可视化方式连接节点，无需编写代码

master-agreement-generator

流程自动化

根据一份模板与一份 JSON 规范生成对手方主协议的审阅稿，使用按角色选择的条款，并将 Schedule A 工作流限制在已签署协议的指定通知权限范围内。当需要…

25万+