Laravel安全用中间件和验证吗

wen PHP项目 2026-07-04 24

本文目录导读：

Laravel安全用中间件和验证吗

内置安全中间件
常用安全中间件用法
验证（Validation）与安全
自定义安全中间件示例
验证规则的安全考量
Laravel 的其他安全机制

是的，Laravel 在安全方面强烈依赖中间件和验证，并且将它们作为核心安全机制,具体体现在：

内置安全中间件

Laravel 默认提供了多个关键安全中间件，位于 app/Http/Kernel.php 的 $middlewareGroups 中：

protected $middlewareGroups = [
    'web' => [
        \App\Http\Middleware\EncryptCookies::class,
        \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
        \Illuminate\Session\Middleware\StartSession::class,
        \Illuminate\View\Middleware\ShareErrorsFromSession::class,
        \App\Http\Middleware\VerifyCsrfToken::class,  // CSRF 保护
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
    ],
    'api' => [
        'throttle:60,1',  // 速率限制
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
    ],
];

关键安全中间件：

VerifyCsrfToken - 防止跨站请求伪造（CSRF）
EncryptCookies - 加密所有 Cookie
StartSession - 安全会话管理
throttle - API 速率限制，防止暴力攻击
auth - 身份验证（Authenticate）

常用安全中间件用法

// 路由中间件链
Route::get('/admin/users', [UserController::class, 'index'])
    ->middleware(['auth', 'verified', 'admin'])  // 多种安全验证
    ->middleware('throttle:10,1');  // 限流：10次/分钟
// 中间件组
Route::middleware('auth:sanctum')->group(function () {
    // 需要 API 令牌认证
});

验证（Validation）与安全

Laravel 的验证系统直接用于安全防护：

// 控制器中的验证（防止注入、XSS等）
public function store(Request $request)
{
    $validated = $request->validate([
        'name' => 'required|string|max:255|sanitize',  // 自动清理
        'email' => 'required|email|unique:users',
        'password' => 'required|min:8|regex:/^(?=.*[A-Z])/',  // 强密码
        'role' => 'in:user,admin',  // 白名单验证
    ]);
    // 自动进行 SQL 注入防护（Eloquent ORM）
    User::create($validated);
}

自定义安全中间件示例

// app/Http/Middleware/CheckUserRole.php
class CheckUserRole
{
    public function handle($request, Closure $next, ...$roles)
    {
        if (!in_array($request->user()->role, $roles)) {
            abort(403, '无权操作');
        }
        return $next($request);
    }
}
// 注册和使用
Route::middleware(['auth', 'role:admin,superadmin'])->group(function () {
    // 敏感操作
});

验证规则的安全考量

// 常见安全相关验证规则
$rules = [
    'content' => 'required|string|max:5000|strip_tags',  // 移除 HTML 标签
    'url' => 'required|url|active_url',  // 验证 URL 有效性
    'file' => 'required|file|mimes:pdf,doc|max:10240',  // 文件类型和大小限制
    'ip' => 'required|ip|blocklist',  // IP 白名单/黑名单
];