Laravel如何进行安全防护

Laravel 安全防护实操清单

一 基础配置与部署加固

• 将应用置于生产模式并关闭调试：APP_ENV=production、APP_DEBUG=false，避免泄露堆栈与配置。确保 APP_KEY 为32 位随机字符串，并使用 AES-256-CBC 等安全加密配置。
• 强制 HTTPS 并配置 HSTS，在 .env 设置 APP_URL=https://…；可添加中间件将 HTTP→HTTPS 重定向。
• 仅通过 public/ 目录对外提供服务，禁止访问 .env 等敏感文件；Web 服务器（如 Nginx）应 root 指向 public/。
• 文件与目录权限最小化：仅对必要目录授予写权限，禁止执行上传目录脚本。
• 生产环境定期执行缓存优化：php artisan config:clear、php artisan route:cache、php artisan view:cache。

二 数据安全与注入防护

• 防 SQL 注入：优先使用 Eloquent ORM 或 查询构造器；如必须使用原生 SQL，务必采用预处理语句/占位符，切勿拼接用户输入。
• 输入验证与清理：对所有请求数据使用 FormRequest/Validator 严格校验类型、长度、格式与业务规则，拒绝非法输入进入业务逻辑。
• 输出转义：在 Blade 模板中使用 {{ $var }} 自动转义，避免 XSS；对富文本使用白名单过滤后再输出。
• 密码存储：使用 bcrypt 哈希（配置 BCRYPT_ROUNDS=12 或更高），禁止明文或弱哈希。
• 敏感信息：将 .env 加入 .gitignore，生产环境禁止提交；必要时对敏感环境变量进行加密存储与运行时解密。

三 身份认证 授权与会话

• 认证与授权：使用内置 Guard/Provider 体系，配合 Gate/Policy 实现细粒度权限控制；关键操作（删除、支付等）二次校验。
• 多因素认证（MFA）：结合 Laravel Fortify/Jetstream 为账户增加 MFA，降低凭证泄露风险。
• 会话安全：开启 SESSION_SECURE_COOKIE=true（仅 HTTPS 传输）、SESSION_HTTP_ONLY=true（防 XSS 窃取）、SESSION_SAME_SITE=lax/strict（缓解 CSRF）。
• 登录安全：对登录接口使用 throttle 限流，防范暴力破解；记录失败登录与敏感操作日志以便审计。

四 CSRF 与 API 安全

• Web 表单：所有 POST/PUT/PATCH/DELETE 表单加入 @csrf 隐藏字段；AJAX 请求在请求头携带 X-CSRF-TOKEN（可在 meta 标签读取）。
• SPA 与 API：前后端分离时，使用 Laravel Sanctum（SPA）或 Laravel Passport（OAuth2）进行无状态认证；不要依赖 Cookie CSRF。
• Webhooks 与例外：第三方回调（如 Stripe）可在 bootstrap/app.php 中通过 validateCsrfTokens(except: [‘stripe/*’]) 排除；或将其路由置于 web 中间件组之外。

五 依赖 运维与监控

• 依赖安全：定期执行 composer audit 或 enlightn/security-checker 扫描；启用 Dependabot/Renovate 自动创建安全更新 PR；及时升级 Laravel 与第三方包。
• 系统加固：保持操作系统与中间件（如 PHP-FPM/Nginx）安全补丁最新；按需禁用危险函数（如 exec/passthru/shell_exec/system/proc_open/popen/eval）。
• 日志与告警：配置 daily 日志轮转，记录 WARN 及以上级别安全事件（登录失败、权限变更、敏感操作等）；关键通道可接入 Slack 等告警。
• 上线前检查清单：关闭 APP_DEBUG、强制 HTTPS/HSTS、校验 APP_KEY、限制数据库账户权限（避免 root）、仅通过 public/ 提供服务、执行依赖与配置安全检查。