Laravel 安全最佳实践

针对 Laravel 应用程序的全面安全指导，以防范常见漏洞。

何时启用

• 添加身份验证或授权时
• 处理用户输入和文件上传时
• 构建新的 API 端点时
• 管理密钥和环境设置时
• 强化生产环境部署时

工作原理

• 中间件提供基础保护（通过 VerifyCsrfToken 实现 CSRF，通过 SecurityHeaders 实现安全标头）。
• 守卫和策略强制执行访问控制（auth:sanctum、$this->authorize、策略中间件）。
• 表单请求在输入到达服务之前进行验证和整形（UploadInvoiceRequest）。
• 速率限制在身份验证控制之外增加滥用保护（RateLimiter::for('login')）。
• 数据安全来自加密转换、批量赋值保护以及签名路由（URL::temporarySignedRoute + signed 中间件）。