セッションとクッキーの強化

• SESSION_HTTP_ONLY=true を設定して JavaScript アクセスを防止
• 高リスクフローに対して SESSION_SAME_SITE=strict を使用
• ログイン時と権限変更時にセッションを再生成

認証とトークン

• Laravel Sanctum または Passport を API 認証に使用
• 機密データの場合、有効期限の短いトークンとリフレッシュフローを優先
• ログアウトと侵害されたアカウントでトークンを無効化

ルート保護例：

use Illuminate\Http\Request;
use Illuminate\Support\Facades\Route;

Route::middleware('auth:sanctum')->get('/me', function (Request $request) {
    return $request->user();
});

パスワードセキュリティ

• Hash::make() でパスワードをハッシュし、平文で保存しない
• パスワードリセットフロー用に Laravel のパスワードブローカーを使用

use Illuminate\Support\Facades\Hash;
use Illuminate\Validation\Rules\Password;

$validated = $request->validate([
    'password' => ['required', 'string', Password::min(12)->letters()->mixedCase()->numbers()->symbols()],
]);

$user->update(['password' => Hash::make($validated['password'])]);

認可：ポリシーとゲート

• モデルレベルの認可にはポリシーを使用
• コントローラーとサービスで認可を実施

$this->authorize('update', $project);

ルートレベルの実施にはポリシーミドルウェアを使用：

use Illuminate\Support\Facades\Route;

Route::put('/projects/{project}', [ProjectController::class, 'update'])
    ->middleware(['auth:sanctum', 'can:update,project']);

バリデーションとデータサニタイゼーション

• フォームリクエストで常にユーザー入力をバリデーション
• 厳密なバリデーションルールと型チェックを使用
• リクエストペイロードを派生フィールドに信頼しない

一括割当保護

• $fillable または $guarded を使用して、Model::unguard() は回避
• DTO またはかば詰明示的な属性マッピングを優先

SQL インジェクション防止

• Eloquent またはクエリビルダーのパラメータバインディングを使用
• 厳密に必要でない限り生 SQL を回避

DB::select('select * from users where email = ?', [$email]);

XSS 防止

• Blade は標準で出力をエスケープ（{{ }}）
• {!! !!} は信頼できる、サニタイズされた HTML にのみ使用
• リッチテキストを専用ライブラリでサニタイズ

CSRF 保護

• VerifyCsrfToken ミドルウェアを有効に保つ
• フォームに @csrf を含めて、SPA リクエストで XSRF トークンを送信

SPA 認証（Sanctum）の場合、ステートフルなリクエストが設定されていることを確認：

// config/sanctum.php
'stateful' => explode(',', env('SANCTUM_STATEFUL_DOMAINS', 'localhost')),

ファイルアップロード安全性

• ファイルサイズ、MIME タイプ、拡張子をバリデーション
• 可能な場合、公開パスの外にアップロードを保存
• 必要に応じてファイルをマルウェアスキャン

final class UploadInvoiceRequest extends FormRequest
{
    public function authorize(): bool
    {
        return (bool) $this->user()?->can('upload-invoice');
    }

    public function rules(): array
    {
        return [
            'invoice' => ['required', 'file', 'mimes:pdf', 'max:5120'],
        ];
    }
}

$path = $request->file('invoice')->store(
    'invoices',
    config('filesystems.private_disk', 'local') // set this to a non-public disk
);

レート制限

• 認証とライトエンドポイントに throttle ミドルウェアを適用
• ログイン、パスワードリセット、OTP にはより厳しい制限を使用

use Illuminate\Cache\RateLimiting\Limit;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\RateLimiter;

RateLimiter::for('login', function (Request $request) {
    return [
        Limit::perMinute(5)->by($request->ip()),
        Limit::perMinute(5)->by(strtolower((string) $request->input('email'))),
    ];
});

シークレットと認証情報

• シークレットをソースコントロールにコミットしない
• 環境変数とシークレットマネージャーを使用
• 公開後はキーをローテーション、セッションを無効化

暗号化された属性

保存中のシックレット列には暗号化されたキャストを使用。

protected $casts = [
    'api_token' => 'encrypted',
];

セキュリティヘッダー

• 必要に応じて CSP、HSTS、フレーム保護を追加
• HTTPS リダイレクトを実施するために信頼できるプロキシ設定を使用

ヘッダーを設定するためのミドルウェア例：

use Illuminate\Http\Request;

…

springboot-security

帮助开发者为 Spring Boot 服务落实认证授权与安全加固最佳实践。