Laravel提供了強大的安全功能，以保護應(yīng)用程序免受常見的Web漏洞。使用內(nèi)置CSRF保護，通過將@CSRF在所有帖子/put/patch/delete表單中包括在內(nèi)，並避免使用API????令牌，避免禁用它。 1。利用雄辯的ORM或查詢構(gòu)建器進行數(shù)據(jù)庫查詢，以防止通過參數(shù)綁定進行SQL注入。 2。使用諸如'email''=>'必需的|電子郵件'和中間件（例如Trimstrings和ConvertementStringstonull）等驗證規(guī)則進行驗證的用戶輸入，以獲取一致的數(shù)據(jù)。 3.使用門和策略的Laravel身份驗證和授權(quán)系統(tǒng)的安全路線，確保只有授權(quán)用戶才能執(zhí)行特定的操作，並應(yīng)用諸如AUTH或可以有效限制訪問的中間件。

Laravel具有大量的內(nèi)置安全功能，可幫助保護您的應(yīng)用程序免受常見的Web漏洞。如果您正在建造嚴(yán)重的東西，僅依靠基本設(shè)置就不會削減它 - 您需要利用Laravel在引擎蓋下提供的東西。

使用內(nèi)置CSRF保護

Laravel自動做的最重要的事情之一就是處理CSRF保護。每當(dāng)您使用Blade的@csrf指令創(chuàng)建表單時，Laravel都會添加一個隱藏的輸入字段，並帶有一個令牌，該字段驗證請求來自您的網(wǎng)站，而不是來自惡意的第三方頁面。

• 確保每個帖子/put/patch/delete表單都包括@csrf
• 除非您有非常具體的原因（例如公共API，否則請勿禁用CSRF保護

在編寫自定義表單或使用基於JavaScript的提交的內(nèi)容時，很容易忘記這一點，因此在推動生產(chǎn)之前仔細(xì)檢查您的代碼。

利用雄辯的數(shù)據(jù)庫查詢

如果您不小心，使用RAW SQL查詢將打開SQL注入攻擊的大門。 Laravel的雄辯的Orm和查詢構(gòu)建器默認(rèn)情況下有助於防止這種情況，因為它們使用幕後的參數(shù)綁定。

例如：

 //使用查詢構(gòu)建器安全查詢
用戶:: where（'email'，$ request-> input（'email'）） - > first（）;

這樣，在發(fā)送到數(shù)據(jù)庫之前，任何用戶輸入都可以正確逃脫。除非您絕對需要 - 甚至始終先進行驗證和驗證，否則避免將變量直接連接到SQL字符串中。

用驗證和中間件消毒用戶輸入

驗證是停止在門口停止錯誤數(shù)據(jù)的最簡單方法之一。 Laravel的表單請求和控制器驗證助手是可靠的工具。

使用諸如：

• 'email' => 'required|email'
• 'password' => 'required|min:8'

另外，不要忘記在保存輸入之前清理輸入。例如，在適當(dāng)?shù)那闆r下修剪空格或剝離HTML標(biāo)籤可以防止以後出乎意料的行為。

您還可以將驗證與諸如TrimStrings和ConvertEmptyStringsToNull類的中間件結(jié)合在一起，默認(rèn)情況下在Laravel中啟用。這些有助於您無需付出額外的努力使您的數(shù)據(jù)保持一致。

通過身份驗證和授權(quán)保護您的路線

大多數(shù)應(yīng)用都需要某種訪問控制。 Laravel使用門和政策提供了一個簡單但功能強大的系統(tǒng)。

假設(shè)您只希望帖子的所有者能夠?qū)ζ溥M行編輯：

 gate :: define（'update-post'，函數(shù)（$ user，$ post）{
    返回$ user-> id === $ post-> user_id;
}）;

然後在您的控制器或刀片視圖中，您可以檢查：

 if（gate ::允許（'update-post'，$ post））{...}

另外，請確保使用auth或can中間件保護您的路線。例如：

路由:: put（'/post/{post}'，[postcontroller :: class，'update']） - > middleware（'can：update-post，post'）;

這樣可以確保用戶不能僅僅猜出URL並執(zhí)行他們不應(yīng)該的操作。

基本上就是這樣。 Laravel可以開箱即用的強大工具 - 但是您仍然需要正確使用它們。保持表格安全，查詢清潔，投入驗證以及路線被鎖定。

以上是使用Laravel安全功能保護您的應(yīng)用程序的詳細(xì)內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！