affaan-m/laravel-security

Laravel 安全最佳实践——包括身份验证、授权、Eloquent 安全、CSRF、XSS 防护、API 安全和安全部署配置。用于审查 Laravel 身份验证、Eloquent 安全、CSRF、XSS、API 安全或部署配置时。

编程协作开发 Agent Agent 技能调研 Laravel 安全审查身份认证与授权 CSRF 防护配置 XSS 防护方案 Eloquent 查询安全 API 接口加固

技术栈: cursor24万+许可证: MIT开发者: affaan-m

Skill 介绍Skill 文件

重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。

在 GitHub 查看 ↗

原文译文

以下为摘要预览，完整内容请查看 GitHub 原文。

Laravel Security Best Practices

Comprehensive security guidelines for Laravel applications to protect against common vulnerabilities.

When to Activate

Setting up Laravel authentication and authorization (Sanctum, Passport, Jetstream, Breeze)
Implementing user roles, permissions, and policies
Configuring production security settings and environment variables
Reviewing Laravel applications for security vulnerabilities
Deploying Laravel applications to production
Writing secure Eloquent queries and migrations

Production Configuration

Essential Production Settings

// config/app.php
'env' => env('APP_ENV', 'production'),
'debug' => (bool) env('APP_DEBUG', false), // CRITICAL: Never true in production
'key' => env('APP_KEY'), // Must be set: php artisan key:generate

// config/session.php
'secure' => env('SESSION_SECURE_COOKIE', true),
'http_only' => true,
'same_site' => 'lax',

// Verify APP_KEY is set at boot
// bootstrap/app.php or a service provider
if (empty(config('app.key'))) {
    throw new RuntimeException('APP_KEY is not set. Run: php artisan key:generate');
}

Environment File Security

# NEVER commit .env to version control…

以下为摘要预览，完整内容请查看 GitHub 原文。

Laravel 安全最佳实践

面向 Laravel 应用的综合性安全指南，用于防范常见漏洞。

何时启用

设置 Laravel 身份验证和授权（Sanctum、Passport、Jetstream、Breeze）
实现用户角色、权限和策略
配置生产环境安全设置和环境变量
审查 Laravel 应用中的安全漏洞
将 Laravel 应用部署到生产环境
编写安全的 Eloquent 查询和迁移

生产环境配置

必要的生产环境设置

// config/app.php
'env' => env('APP_ENV', 'production'),
'debug' => (bool) env('APP_DEBUG', false), // 关键：生产环境中绝不能为 true
'key' => env('APP_KEY'), // 必须设置：php artisan key:generate

// config/session.php
'secure' => env('SESSION_SECURE_COOKIE', true),
'http_only' => true,
'same_site' => 'lax',

// 验证 APP_KEY 已在启动时设置
// bootstrap/app.php 或服务提供者
if (empty(config('app.key'))) {
    throw new RuntimeException('APP_KEY is not set. Run: php artisan key:generate');
}

环境文件安全

# 绝不要将 .env 提交到版本控制系统
# .gitignore 默认已包含 .env

# 使用带占位符的 .env.example
DB_PASSWORD=
APP_KEY=
SANCTUM_TOKEN_PREFIX=

# 在启动时验证必需变量
// In AppServiceProvider::boot()
$requiredKeys = ['app.key', 'database.connections.mysql.database', 'database.connections.mysql.username'];
foreach ($requiredKeys as $key) {
    if (empty(config($key))) {
        throw new RuntimeException("Missing required config key: {$key}");
    }
}