affaan-m/laravel-security

身份验证与授权、校验、CSRF、批量赋值、文件上传、密钥、速率限制以及安全部署等方面的 Laravel 安全最佳实践。

编程协作开发 Agent Agent 技能调研 Laravel 安全防护身份验证加固 CSRF 防护文件上传校验部署安全配置

技术栈: cursor24万+许可证: MIT开发者: affaan-m

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Laravel 安全最佳实践

用于保护 Laravel 应用抵御常见安全漏洞的综合性安全指南。

启用时机

新增身份验证或授权逻辑
处理用户输入和文件上传
创建新的 API 端点
管理密钥与环境配置
加固生产环境部署

工作原理

中间件提供基础防护（针对 CSRF 的 VerifyCsrfToken，针对安全响应头的 SecurityHeaders）。
Guard 与策略强制访问控制（auth:sanctum、$this->authorize、策略中间件）。
Form Request 在请求进入服务之前校验并整形输入（如 UploadInvoiceRequest）。
速率限制与身份验证检查相结合，提供防滥用保护（RateLimiter::for('login')）。
数据安全来自加密 cast、批量赋值保护以及签名路由（URL::temporarySignedRoute + signed 中间件）。

核心安全配置

生产环境中设置 APP_DEBUG=false
必须设置 APP_KEY，并在泄露时进行轮换
设置 SESSION_SECURE_COOKIE=true 以及 SESSION_SAME_SITE=lax（敏感应用可使用 strict）
配置可信代理以保证 HTTPS 检测正确

Session 与 Cookie 加固

设置 SESSION_HTTP_ONLY=true 以阻止 JavaScript 访问
对高风险流程使用 SESSION_SAME_SITE=strict
在登录和权限变更时重新生成 session

身份验证与 Token

API 身份验证使用 Laravel Sanctum 或 Passport
敏感数据优先使用短期 token，并配合刷新流程
在登出及账号泄露时吊销 token

路由保护示例：

use Illuminate\Http\Request;
use Illuminate\Support\Facades\Route;

Route::middleware('auth:sanctum')->get('/me', function (Request $request) {
    return $request->user();
});

密码安全

使用 Hash::make() 对密码进行哈希处理，绝不以明文形式存储
密码重置流程使用 Laravel 自带的 password broker

use Illuminate\Support\Facades\Hash;
use Ill…

重要提示：源文件不在本站托管，请通过 GitHub 查看与下载。

索引更新于 8/25/2026, 9:18:05 PMGitHub ↗

SKILL.md8.2 KB在 GitHub 查看 ↗

相关资源

按类型、任务、场景与标签加权推荐

itsPremkumar/mcptest

MCP · Model · Context · Protocol · 测试工具 · 调试 · 开发框架

Automated MCP Server Testing Framework

yair4Data/mcp-security-analyzer

MCP · 安全审计 · 配置扫描 · 权限分析 · 开发工具

Comprehensive security testing framework for Model Context Protocol (MCP) server

Web Search Agents by Nimble

web · search · real-time · data · AI · agent · scraping · structured

网络搜索代理是针对您特定领域（例如公司信息丰富、法规研究等）的专业网络爬虫和研究代理。它们会自主学习您的使用场景，深入挖掘对您最重要的资源，从而为您的 AI 提供更深入、更相关的网络上下文

Demovanta

AI · Agent · 演示平台 · 评测 · 开发工具

。只需粘贴URL，一个真实浏览器就会打开你的网页，模拟浏览操作，并用你的母语旁白讲解屏幕上的内容

Krevios

AI代理 · 企业自动化 · 研究 · 工作流

你可以生成与编辑图像、制作视频、合成文本与排版——全程只需以可视化方式连接节点，无需编写代码

AIplayworld.io

AI代理 · 虚拟世界 · 基准测试 · 游戏环境 · LLM评测

An immersive AI adventure platform（沉浸式 AI 冒险平台）