laravel-security

name laravel-security description Laravel security best practices for authn/authz, validation, CSRF, mass assignment, file uploads, secrets, rate limiting, and secure deployment. origin ECC Laravel Güvenlik En İyi Uygulamaları Laravel uygulamalarını yaygın güvenlik açıklarına karşı korumak için kapsamlı güvenlik rehberi. Ne Zaman Aktif Edilir Kimlik doğrulama veya yetkilendirme ekleme Kullanıcı girişi ve dosya yüklemelerini işleme Yeni API endpoint'leri oluşturma Gizli bilgileri ve ortam ayarlarını yönetme Production deployment'ları sertleştirme Nasıl Çalışır Middleware temel korumalar sağlar (CSRF için VerifyCsrfToken , güvenlik başlıkları için SecurityHeaders ). Guard'lar ve policy'ler erişim kontrolünü zorlar ( auth:sanctum , $this->authorize , policy middleware). Form Request'ler servislere ulaşmadan önce girişi doğrular ve şekillendirir ( UploadInvoiceRequest ). Rate limiting, auth kontrolleri ile birlikte kötüye kullanım koruması ekler ( RateLimiter::for('login') ). Veri güvenliği encrypted cast'lerden, mass-assignment korumalarından ve signed route'lardan gelir ( URL::temporarySignedRoute + signed middleware). Temel Güvenlik Ayarları Production'da APP_DEBUG=false APP_KEY ayarlanmalı ve tehlikeye girdiğinde döndürülmelidir SESSION_SECURE_COOKIE=true ve SESSION_SAME_SITE=lax ayarlayın (veya hassas uygulamalar için strict ) Doğru HTTPS algılama için güvenilir proxy'leri yapılandırın Session ve Cookie Sertleştirme JavaScript erişimini önlemek için SESSION_HTTP_ONLY=true ayarlayın Yüksek riskli akışlar için SESSION_SAME_SITE=strict kullanın Login ve ayrıcalık değişikliklerinde session'ları yeniden oluşturun Kimlik Doğrulama ve Token'lar API kimlik doğrulama için Laravel Sanctum veya Passport kullanın Hassas veriler için yenileme akışları ile kısa ömürlü token'ları tercih edin Logout ve tehlikeye girmiş hesaplarda token'ları iptal edin Örnek route koruması: use Illuminate \ Http \ Request ; use Illuminate \ Support \ Facades \ Route ; Route :: middleware ( 'auth:sanctum' )-> get ( '/me' , function (Request $request ) { return $request -> user (); }); Parola Güvenliği Hash::make() ile parolaları hash'leyin ve asla düz metin saklamayın Sıfırlama akışları için Laravel'in password broker'ını kullanın use Illuminate \ Support \ Facades \ Hash ; use Illuminate \ Validation \ Rules \ Password ; $validated = $request -> validate ([ 'password' => [ 'required' , 'string' , Password :: min ( 12 )-> letters ()-> mixedCase ()-> numbers ()-> symbols ()], ]); $user -> update ([ 'password' => Hash :: make ( $validated [ 'password' ])]); Yetkilendirme: Policy'ler ve Gate'ler Model seviyesi yetkilendirme için policy'leri kullanın Controller'larda ve servislerde yetkilendirmeyi zorlayın $this -> authorize ( 'update' , $project ); Route seviyesi zorlama için policy middleware kullanın: use Illuminate \ Support \ Facades \ Route ; Route :: put ( '/projects/{project}' , [ ProjectController :: class , 'update' ]) -> middleware ([ 'auth:sanctum' , 'can:update,project' ]); Validation ve Veri Temizleme Her zaman Form Request'ler ile girişleri doğrulayın Sıkı validation kuralları ve tip kontrolleri kullanın Türetilmiş alanlar için request payload'larına asla güvenmeyin Mass Assignment Koruması $fillable veya $guarded kullanın ve Model::unguard() kullanmaktan kaçının DTO'ları veya açık attribute mapping'i tercih edin SQL Injection Önleme Eloquent veya query builder parametre binding kullanın Kesinlikle gerekli olmadıkça raw SQL kullanmaktan kaçının DB:: select ( 'select * from users where email = ?' , [ $email ]); XSS Önleme Blade varsayılan olarak çıktıyı escape eder ( {{ }} ) {!! !!} sadece güvenilir, temizlenmiş HTML için kullanın Zengin metni özel bir kütüphane ile temizleyin CSRF Koruması VerifyCsrfToken middleware'ini etkin tutun Formlara @csrf ekleyin ve SPA istekleri için XSRF token'ları gönderin Sanctum ile SPA kimlik doğrulaması için, stateful isteklerin yapılandırıldığından emin olun: // config/sanctum.php 'stateful' => explode ( ',' , env ( 'SANCTUM_STATEFUL_DOMAINS' , 'localhost' )), Dosya Yükleme Güvenliği Dosya boyutunu, MIME tipini ve uzantısını doğrulayın Mümkün olduğunda yüklemeleri public path dışında saklayın Gerekirse dosyaları malware için tarayın final class UploadInvoiceRequest extends FormRequest { public function authorize ( ): bool { return ( bool ) $this -> user ()?-> can ( 'upload-invoice' ); } public function rules ( ): array { return [ 'invoice' => [ 'required' , 'file' , 'mimes:pdf' , 'max:5120' ], ]; } } $path = $request -> file ( 'invoice' )-> store ( 'invoices' , config ( 'filesystems.private_disk' , 'local' ) // bunu public olmayan bir disk 'e ayarlayın ); Rate Limiting Auth ve yazma endpoint'lerinde throttle middleware'i uygulayın Login, password reset ve OTP için daha sıkı limitler kullanın use Illuminate \ Cache \ RateLimiting \ Limit ; use Illuminate \ Http \ Request ; use Illuminate \ Support \ Facades \ RateLimiter ; RateLimiter :: for ( 'login' , function ( Request $request ) { return [ Limit :: perMinute ( 5 )-> by ( $request -> ip ()), Limit :: perMinute ( 5 )-> by ( strtolower (( string ) $request -> input ( 'email' ))), ]; }); Gizli Bilgiler ve Kimlik Bilgileri Gizli bilgileri asla kaynak kontrolüne commit etmeyin Ortam değişkenlerini ve gizli yöneticileri kullanın Maruz kalma sonrası anahtarları döndürün ve session'ları geçersiz kılın Şifreli Attribute'lar Bekleyen hassas sütunlar için encrypted cast'leri kullanın. protected $casts = [ 'api_token' => 'encrypted' , ]; Güvenlik Başlıkları Uygun yerlerde CSP, HSTS ve frame koruması ekleyin HTTPS yönlendirmelerini zorlamak için güvenilir proxy yapılandırması kullanın Başlıkları ayarlamak için örnek middleware: use Illuminate \ Http \ Request ; use Symfony \ Component \ HttpFoundation \ Response ; final class SecurityHeaders { public function handle ( Request $request , \ Closure $next ): Response { $response = $next ( $request ); $response ->headers-> add ([ 'Content-Security-Policy' => "default-src 'self'" , 'Strict-Transport-Security' => 'max-age=31536000' , // tüm subdomain 'ler HTTPS olduğunda includeSubDomains/preload ekleyin ' X-Frame-Options ' => ' DENY ', ' X-Content-Type-Options ' => ' nosniff ', ' Referrer-Policy ' => ' no-referrer ', ]); return $response; } } CORS ve API Erişimi config/cors.php 'de origin'leri kısıtlayın Kimlik doğrulamalı route'lar için wildcard origin'lerden kaçının // config/cors.php return [ 'paths' => [ 'api/*' , 'sanctum/csrf-cookie' ], 'allowed_methods' => [ 'GET' , 'POST' , 'PUT' , 'PATCH' , 'DELETE' ], 'allowed_origins' => [ 'https://app.example.com' ], 'allowed_headers' => [ 'Content-Type' , 'Authorization' , 'X-Requested-With' , 'X-XSRF-TOKEN' , 'X-CSRF-TOKEN' , ], 'supports_credentials' => true , ]; Loglama ve PII Parolaları, token'ları veya tam kart verilerini asla loglamayın Yapılandırılmış loglarda hassas alanları redakte edin use Illuminate \ Support \ Facades \ Log ; Log :: info ( 'User updated profile' , [ 'user_id' => $user ->id, 'email' => '[REDACTED]' , 'token' => '[REDACTED]' , ]); Bağımlılık Güvenliği Düzenli olarak composer audit çalıştırın Bağımlılıkları dikkatle sabitleyin ve CVE'lerde hızlıca güncelleyin Signed URL'ler Geçici, kurcalamaya dayanıklı bağlantılar için signed route'ları kullanın. use Illuminate \ Support \ Facades \ URL ; $url = URL:: temporarySignedRoute ( 'downloads.invoice' , now ()-> addMinutes ( 15 ), [ 'invoice' => $invoice ->id] ); use Illuminate \ Support \ Facades \ Route ; Route :: get ( '/invoices/{invoice}/download' , [ InvoiceController :: class , 'download' ]) -> name ( 'downloads.invoice' ) -> middleware ( 'signed' );