Laravel安全功能默认开启哪些

本文目录导读：

1. CSRF 保护（跨站请求伪造）
2. XSS 防护（跨站脚本攻击）
3. SQL 注入防护
4. 密码哈希与安全存储
5. 加密（Encryption）
6. 中间件安全堆栈
7. 认证与会话安全
8. 文件上传限制
9. 环境配置与调试
10. 失败原因与常见误解
11. 总结：默认安全得分（满分 5 分：4.5/5）

Laravel 默认开启的安全功能非常全面，涵盖了 Web 应用常见的攻击面，以下是主要默认开启的安全功能及其对应的防护机制：

CSRF 保护（跨站请求伪造）

• 默认状态：全局启用。
• 机制：VerifyCsrfToken 中间件自动为所有 POST、PUT、PATCH、DELETE 请求验证 CSRF Token。
• 效果：阻止恶意网站诱骗用户执行非本意的操作（如转账、改密）。
• 例外：你需要在 App\Http\Middleware\VerifyCsrfToken 的 $except 数组中显式排除某些路由（如 API 路由或第三方 Webhook）。

XSS 防护（跨站脚本攻击）

• 默认状态：Blade 模板引擎默认启用。
• 机制：使用 {{ $var }} 语法时，Laravel 会调用 PHP 的 htmlspecialchars() 函数自动转义输出的 HTML 标签和特殊字符（<、>、、、&）。
• 效果：防止攻击者注入恶意 JavaScript 代码。
• 注意：如果需要输出原始 HTML（如富文本），必须显式使用 {!! $var !!}，但此时需要额外清理（如使用 HTML Purifier 或 DOMPurify）。

SQL 注入防护

• 默认状态：Eloquent ORM 和查询构造器默认启用。
• 机制：
  • 参数绑定：所有通过 Eloquent 或 DB Facade 执行的查询，只要使用了参数绑定（如 where('id', $input) 或 DB::raw('?', [$val])），值都会被 PDO 预处理，不会直接拼接到 SQL 中。
  • 原始查询：仅当使用 DB::raw() 或 whereRaw() 且未绑定参数时才存在风险（不推荐）。
• 效果：阻止攻击者通过输入字段篡改 SQL 语句。

密码哈希与安全存储

• 默认状态：强哈希算法。
• 机制：使用 bcrypt（默认）或 argon2（可选，需 PHP 7.2+）算法。Hash::make() 会自动生成随机盐（Salt），且计算成本（Cost Factor）可配置。
• 效果：即使数据库泄露，攻击者也很难逆向破解密码（彩虹表攻击几乎无效）。

加密（Encryption）

• 默认状态：可逆加密默认禁用，但框架提供支持。
• 注意：Laravel 不默认加密所有数据，但它提供基于 openssl 和 AES-256-GCM 或 AES-256-CBC 的加密工具（Crypt::encryptString() 和 Crypt::decryptString()），项目需要时，开发者需要显式使用。

中间件安全堆栈

• 默认状态：app/Http/Kernel.php 中的全局中间件自动加载。
• 主要中间件：
  • EncryptCookies：对 Cookie 进行加密，防止用户篡改（如修改 remember_token 或购物车数据）。
  • AddQueuedCookiesToResponse 和 StartSession：确保会话管理是服务端安全的。
  • TrimStrings：去除输入字符串首尾空白，避免意外问题。
  • ConvertEmptyStringsToNull：将空字符串转为 null，减少逻辑漏洞。
  • TrustProxies：配合反向代理（如 Nginx 或负载均衡）时，正确获取客户端 IP（防止伪造 IP 头）。

认证与会话安全

• 默认：web 路由组使用基于 Cookie 的会话认证，session 驱动默认是 file（可在 .env 中改为 database 或 redis）。
• 防护：Laravel 不默认启用 Session 固定攻击防护，但提供了 regenerate() 方法供开发者在登录成功后调用（Breeze 或 Jetstream 会自动处理），生产环境应确认登录后是否调用 session()->regenerate()。

文件上传限制

• 默认：php.ini 或 Laravel 验证规则（如 mimes、max）由开发者显式设置。
• 注意：Laravel 不默认限制上传文件类型或大小，开发者需要在请求验证中使用 'photo' => 'mimes:jpg,png|max:2048' 来显式防护。

环境配置与调试

• 默认：APP_DEBUG=true 在开发环境中默认开启，但在生产环境中必须设置为 false。
• 问题：生产环境如果忘记关闭 APP_DEBUG，会暴露数据库凭据、表结构、文件路径等敏感信息。 这不是框架自动关闭的，而是运维责任。
• 推荐：使用 php artisan config:cache 固化配置，并确保 .env 不在 Web 根目录下（默认在项目根目录，一般不在 web 根目录内）。

失败原因与常见误解

• 不默认开启：Laravel 不默认开启 HTTPS 强制跳转（需要借助 URL::forceScheme('https') 或 TrustProxies 中间件）。
• 不默认开启：速率限制（RateLimiter）需要手动配置，仅 ThrottleRequests 中间件是 Laravel 自带但需显式绑定的。
• 不默认开启：HTTP 严格传输安全（HSTS）头需要手动通过中间件添加。
• 不默认开启安全策略（CSP）头需要手动添加。

默认安全得分（满分 5 分：4.5/5）

Laravel 是 PHP 生态中默认安全性最高的框架之一，只要开发者不主动做以下事情，应用基本安全：

1. 不滥用 {!! $var !!}（或者不净化就输出）
2. 不使用 DB::raw() 拼接用户输入
3. 不将 .env 暴露在公网
4. 生产环境关闭 APP_DEBUG
5. 配置好上传验证规则

如果你正在使用 Laravel Breeze 或 Jetstream 进行认证，它们还额外默认开启了登录失败暂停、邮箱验证（可选）等功能。