Laravel Security Best Practices

Sélectionné par Skill Harbor : un guide de durcissement qui fait passer à Muse une application Laravel en revue contre la vraie surface de sécurité du framework. Il commence par la configuration de production (APP_DEBUG désactivé, APP_KEY définie et validée au démarrage, cookies de session sécurisés, HTTPS imposé avec proxys de confiance bien cadrés), puis couvre l'authentification avec les capacités de jetons Sanctum, le hachage Argon2/bcrypt, des règles de mot de passe fortes avec vérification de fuites, et la régénération de session à la connexion. L'autorisation couvre les Gates avec un hook before() super-admin, les Policies de modèles câblées via contrôleurs et Blade, et un middleware de rôles. La sécurité Eloquent est un point fort : whitelist fillable plutôt que tableaux guarded ouverts, safe() et validated() plutôt que request all(), whereRaw paramétré, et attributs masqués pour les réponses API. Le CSRF couvre le middleware VerifyCsrfToken avec des exemptions soigneuses réservées aux webhooks, le XSS couvre l'échappement automatique de Blade et l'écho brut dangereux avec entrée utilisateur, la validation d'entrée couvre les règles FormRequest avec assainissement post-validation, et la sécurité d'API couvre les limiteurs de débit par endpoint, le choix Sanctum contre Passport, et la whitelist CORS. Les uploads reçoivent une validation MIME, taille et dimensions avec stockage sur disque privé et URLs signées, et le skill se termine avec composer audit en CI, la gestion des secrets, les payloads de file chiffrés et un journal d'audit des événements de sécurité. Par @affaan-m, listé ici avec crédit à son créateur. Tiré du dépôt affaan-m/ECC (MIT). Bémols honnêtes : une checklist n'est pas un pentest ; ne collez jamais de vrais secrets dans un chat en l'utilisant ; le choix Sanctum contre Passport dépend de votre modèle d'auth, décidez délibérément. Skill Harbor ne vérifie jamais le code, examinez-le vous-même avant usage.