LaravelにおけるApp_KEYの役割について話しましょう

Laravel での App_KEY の用途は何ですか? App_KEYの役割については以下の記事で紹介していますので、ご参考になれば幸いです。

Laravel 開発者が Laravel アプリケーションを作成または複製するたびに、アプリケーション キー または APP_KEY を生成することが最も重要な初期設定です。第一歩。

最新の Laravel セキュリティ アップデートは、APP_KEY の使用法関連の脆弱性を修正します。この脆弱性を悪用するには、まず製品バージョン APP_KEY にアクセスする必要があります。この脆弱性を解決する最も簡単な方法は、APP_KEY を変換 (変更) することです。このことから、「アプリケーション キーは何をするのでしょうか?」という疑問を持つ人もいます。変更には何が含まれますか? Laravelアプリケーションでこれらのキーを管理するためのベストプラクティスは何ですか?

この投稿では、APP_KEY の推奨事項、してはいけないこと、ユーザー パスワード ハッシュとの関連性に関するよくある誤解、および APP_KEY を安全に変更する方法について説明します。データへのアクセスを失うことなく。

Laravel セキュリティ修正

8 月初旬、Laravel 5.5 および 5.6 は Cookie のシリアル化と暗号化に関連するセキュリティ修正を受け取りました。一方で、修正は簡単で、ほとんどのアプリケーションはおそらく影響を受けません。一方で、これは重大なセキュリティ リスクであり、コミュニティが APP_KEY がどのように機能するかをより深く理解する必要があることを示しています。

このセキュリティ ホールを悪用するには、誰かがあなたの APP_KEY を知る必要があります。そのため、キーの詳細、それが重要な理由、および変更方法について説明します。それ。

セキュリティ修正の詳細については、次のリソースを参照してください:

• セキュリティ アップデート (5.6.30) リリース ノート: https://learnku.com/docs/laravel /5.6/upgrade#upgra...
• セキュリティ アップデート (5.5.42) リリース ノート: https://learnku.com/docs/laravel/5.5/upgrade#upgra. .

APP_KEY とは何ですか?

アプリケーション キーは、.env ファイルの APP_KEY キーに保存されている 32 ビットのランダムな文字列です。 Laravel インストーラーは自動的にインストーラーを生成するため、既製のアプリケーションをクローンするときにのみインストーラーが存在しないことに気づきます。

このエラーを以前に見たことがあるかもしれません:

新しいキーを作成するには、自分でキーを生成し、それを .env に貼り付けます。 または、phpArtisan key:generate を実行して、Laravel にキーを作成して自動的に挿入させることもできます。

アプリケーションの実行後、APP_KEY が 1 か所 (Cookie) で使用されます。 Laravel は、ユーザーのブラウザに渡す前にすべての暗号化された Cookie (セッション Cookie を含む) のキーを使用し、ブラウザから読み取られた Cookie を復号化するために使用します。これにより、クライアントが Cookie を変更して管理者権限を付与したり、アプリケーション内で他のユーザーになりすますことができなくなります。暗号化された Cookie は、Laravel の重要なセキュリティ機能です。

これらすべての暗号化および復号化操作は、OpenSSL などの PHP の組み込みセキュリティ ツールを使用して、Encrypter を通じて Laravel によって処理されます。ここでは暗号化がどのように機能するかについては詳しく説明しませんが、さらに詳しく知りたい場合は、PHP による OpenSSL の実装と、 openssl_encrypt function.

パスワード ハッシュに関するよくある誤解

Laravel コミュニティでは、次のものが含まれます。私自身、最近までよくある誤解は、タスク APP_KEY がログイン パスワードの暗号化に使用されるということです。幸いなことに、そうではありません。このため、多くの人は、すべてのユーザーのログインがリセットされない限り、APP_KEY は変更できないと信じていると思います。

パスワードは暗号化されていませんが、ハッシュ化された.

Laravelパスワードの使用法Hash::make() または #ハッシュには ##bcrypt() を使用しますが、どちらも APP_KEY を使用しません。 Laravel の暗号化とハッシュを見てみましょう。

暗号化とハッシュLaravel には 2 つの主要なファサードがあります:

(対称暗号化) と ハッシュ (一方向ハッシュ暗号化)。パスワードは ハッシュ化され、Cookie は (オプションで) 暗号化されます。違いを見てみましょう。

对称加密

$key = "dont-panic";

$message = "So long and thanks for all the fish";
$key = "dont-panic";
$cipher = "AES-256-CBC";
echo openssl_encrypt($message, $cipher, $key);

// JJEK8L4G3BCfY0evXDRxUke2zqAzq6i7wL/Px4SjaEHXqt3x7hsj4+PhVQaH4ujX

$secret = "JJEK8L4G3BCfY0evXDRxUke2zqAzq6i7wL/Px4SjaEHXqt3x7hsj4+PhVQaH4ujX";
$key = "dont-panic";
$cipher = "AES-256-CBC";
echo openssl_decrypt($secret, $cipher, $key);

// So long and thanks for all the fish

use Illuminate\Support\Facades\Hash;

$password = "dont-panic";
echo Hash::make($password);

// $2y$10$hEEF0lv4spxnvw5O4XyLZ.QjCE1tCu8HjMpWhmCS89J0EcSW0XELu

use Illuminate\Support\Facades\Hash;

$input = request()->get('password'); // "dont-panic"
$hash = '$2y$10$hEEF0lv4spxnvw5O4XyLZ.QjCE1tCu8HjMpWhmCS89J0EcSW0XELu';
return Hash::check($input, $hash);

// 正确

[jbathman my_app]# php artisan key:generate
**************************************
*     Application In Production!     *
**************************************

Do you really wish to run this command? (yes/no) [no]:
> yes

Application key [base64:x2SHH01+2R+vwv09YcrvXqdFJ+bbqgT9gW4njcYLjDE=] set successfully.

[jbathman ~/my_app]# php artisan key:generate --show
base64:c3SzeMQZZHPT+eLQH6BnpDhw/uKH2N5zgM2x2a8qpcA=

以上がLaravelにおけるApp_KEYの役割について話しましょうの詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。