Laravelアプリケーションを保護する方法

Composer Updateを実行し、Depenabotなどのツールを使用して、依存関係を更新します。 2。CSRF保護を使用し、Laravelの検証システムで入力を検証します。 3. BCRYPTで認証を保護し、強力なパスワードを実施し、レートの制限を実装します。 4.雄弁またはパラメーター化されたクエリを使用して、SQL注入を防ぎます。 5. app_debug = falseを使用して適切な構成を設定し、secrets in .envを保存します。 6。HTTPSを使用し、HSTSやCSPなどのセキュアヘッダーを使用します。 7。ハードコーディングされたロールチェックの代わりに、ポリシーとゲートを介したアクセスを制御します。 8。タイプ、サイズ、およびパブリックディレクトリの外部を保存することにより、ファイルアップロードをサニタイズします。 9. Laravelのログシステムを使用してログインに失敗したなどの疑わしいアクティビティを記録します。 10。Auth：SanctumとThrottleのようなミドルウェアでルートを保護してアクセスを制限し、すべての機密エンドポイントが保護されていることを確認します。

Laravelアプリケーションのセキュリティには、入力検証から設定およびアクセス制御のセキュリティまでの複数の保護層が含まれます。 Laravelは箱から出して強力なツールを提供しますが、適切な実装が重要です。 Laravelアプリをより安全にする方法は次のとおりです。

1.依存関係を更新します

攻撃者がアプリを活用する最も簡単な方法の1つは、時代遅れのパッケージの既知の脆弱性によることです。

• Laravelとすべての依存関係を最新の状態に保つために、定期的にcomposer updateを実行します。
• Laravel ShiftやDependabotなどのツールを使用して、依存関係の更新を自動化します。
• SecurityAdvisoriesまたはSNYKを介してセキュリティアドバイスを監視します。

Laravelまたはサードパーティのパッケージの古いバージョンには、不正なエクスプロイトがあります。常にサポートされているバージョンにとどまります。

2。CSRF保護を使用し、入力を検証します

Laravelには、ミドルウェア（ VerifyCsrfToken ）を介した組み込みのCSRF保護が含まれています。これは、デフォルトでWebルートで有効になっています。

• 絶対に必要な場合を除き、CSRFトークンを無効にしないでください（たとえば、パブリックAPI）。
• Laravelの検証システムを使用して、常に受信リクエストを検証します。

 $ request-> validate（[[
    「電子メール」=> '必須|メール'、
    「パスワード」=> '必須| min：8'、
]）;

• 複雑な検証ロジックのフォームリクエストを使用し、コントローラーを清潔に保つために使用します。
• ブレードテンプレートを使用して出力を消毒します（ {{ }}コンテンツを自動的に逃がします）が、 {!! !!} 。

3。認証とパスワードを保護します

Laravelの組み込み認証の足場は、正しく使用すると安全です。

• パスワードハッシュにbcrypt()を使用します（Laravelは、 Hashファサードを介してデフォルトでこれを行います）。
• 検証ルールを使用して強力なパスワードを実施します。
• ブルートフォース攻撃を防ぐためのログイン試行に制限を実装：

 // routeServiceProviderまたはミドルウェアで
ratelimiter :: for（ 'login'、function（request $ request）{
    return limit :: perminute（5） - > by（$ request-> input（ 'email'））;
}）;

• トークンの有効期限と取り消しでAPI認証にLaravel Sanctumまたはパスポートを使用することを検討してください。

4。SQL注入から保護します

LaravelのEloquent ORMおよびクエリビルダーは、正しく使用するとSQL注入から保護します。

• 常に雄弁またはパラメーター化されたクエリを使用します。

ユーザー:: where（ 'email'、$ email） - > first（）; // 安全

• 必要でない限り、生のクエリを避けてください。それらを使用する必要がある場合は、パラメーターバインディングを使用します。

 db :: select（ "select * from users where where email =？"、[$ email]）;

• ユーザー入力をSQL文字列に連結しないでください。

5.適切な構成と環境を設定します

誤解された環境は、機密データを公開します。

• APP_ENV=productionとAPP_DEBUG=false設定します。
  • APP_DEBUG=true cant config、keys、and stackトレースをリークできます。
• Secretsを.envに保存し、バージョンコントロールにコミットしないでください。
• config:cacheを使用して、構成の読み込みをスピードアップし、露出を減らします。

また：

• secure SESSION_SECURE_COOKIE=trueを設定します。
• SESSION_DOMAINを使用して、Cookieスコープを制限します。
• SESSION_SAME_SITE=strictまたはlaxを設定して、最新のブラウザーでCSRFを防止します。

6. HTTPSとセキュアヘッダーを使用します

生産中のHTTPSを介して常にLaravelアプリを提供してください。

• ミドルウェアまたはWebサーバー（nginx/apache）リダイレクトを使用してHTTPSを強制します。
• ミドルウェアまたは.htaccess /server configを介してセキュリティヘッダーを追加します。

設定する一般的なヘッダー：

• Strict-Transport-Security （HSTS）
• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY
• Content-Security-Policy （CSP） - 慎重に構成されています

Laravel Middlewareまたはspatie/laravel-cspなどのパッケージを使用して、CSPを管理できます。

7。ポリシーとゲートを使用したアクセスを制御します

Laravelの承認システムを使用して、アクセスを制限します。

• モデルのポリシーを定義します。

 PHP Artisan Make：Policy Postpolicy  -  model = post

• Bladeで@canを使用するか、コントローラーでauthorize()使用します。

 $ this-> authorize（ 'update'、$ post）;

• if ($user->role === 'admin')ようなロジックを避けます - 代わりにゲートまたはポリシーを使用します。

8。ファイルのアップロードを消毒および検証します

ファイルアップロードは、一般的な攻撃ベクトルです。

• ファイルの種類、サイズ、および拡張機能を検証します。

 $ request-> validate（[[
    'avatar' => '必須|画像|最大：2048'、
]）;

• ファイルをstorage/app/publicに保存し、 storage:link 。
• アップロードされたファイルを実行しないでください。アップロードをpublic/直接配置しないでください。
• 潜在的なマルウェアをストリップするために、画像（介入画像で再節約）を変換することを検討してください。

9。疑わしい活動を記録して監視します

ロギングを有効にし、定期的にログを確認します。

• laravelログstorage/logs/laravel.logへのログ。
• エラートラッキングのために、Laravel Telescope（DEV用）やSentryなどのツールを使用します。
• ログに失敗したログインの試み、機密領域へのアクセス、および管理アクション。

例：

 log ::警告（ '失敗したログイン試行'、['email' => $ email]）;

10。ルートとAPIを保護します

• ルートにミドルウェアを適用します。
  • auth:sanctum
  • 電子メールの検証が必要な場合はverified
  • リクエストを制限するためのthrottle

ルート::ミドルウェア（['auth：sanctum'、 'srottle：60,1']） - > group（function（）{
    //保護されたルート
}）;

• ミドルウェアなしでweb.phpで敏感なルートを公開しないでください。
• トークンベースの認証を備えたステートレスエンドポイントには、APIルート（ api.php ）を使用します。

基本的に、Laravelの保護は、組み込みのツールを適切に使用し、すべてを検証し、ソフトウェアの更新を維持し、攻撃面を最小化することになります。ほとんどの脆弱性は、誤った構成またはララヴェルの保護手段のバイパスから生じます。フレームワーク自体からではありません。

以上がLaravelアプリケーションを保護する方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。