⭐10 نکته برای افزایش 【 امنیت پروژه‌های لاراول 】
در دنیای توسعه وب، یکی از مهم‌ترین مسائل که باید به آن توجه شود، امنیت است. فریم‌ورک لاراول به‌عنوان یکی از محبوب‌ترین فریم‌ورک‌های PHP، امکانات و ابزارهای متعددی را برای حفاظت از برنامه‌ها در برابر تهدیدات مختلف فراهم می‌کند. با این حال، امنیت لاراول به‌طور پیش‌فرض تأمین نمی‌شود و بستگی به پیاده‌سازی و استفاده صحیح از این امکانات دارد.
در این مقاله، به 10 نکته امنیتی که باید در پروژه‌های لاراول خود رعایت کنید، می‌پردازیم و نحوه اعمال این نکات را با مثال‌های کاربردی بررسی خواهیم کرد.
1. استفاده از توکن CSRF برای محافظت از درخواست‌ها
یکی از ویژگی‌های برجسته لاراول، حفاظت از حملات CSRF (Cross-Site Request Forgery) است. این حملات زمانی رخ می‌دهند که یک کاربر ناخواسته از طریق سایت‌های مخرب به‌عنوان یک درخواست معتبر به سرور شما ارسال می‌کند.
چگونه از آن محافظت کنیم؟
لاراول به‌طور پیش‌فرض برای هر فرم HTML توکن CSRF را به‌صورت خودکار اضافه می‌کند. این توکن برای درخواست‌های POST، PUT، PATCH و DELETE ضروری است. بنابراین، اطمینان حاصل کنید که فرم‌ها و درخواست‌های شما همیشه از این توکن استفاده می‌کنند.
<form method="POST" action="/update">
@csrf
<input type="text" name="name" />
<button type="submit">ارسال</button>
</form>
این روش، از حملات مخرب که از طریق تغییر نام فایل‌ها و پسوند آن‌ها صورت می‌گیرند، جلوگیری می‌کند.
برای آموزش کامل‌تر و یادگیری امنیت بارگذاری فایل‌ها در لاراول، به دوره مسترکلاس لاراول مراجعه کنید.
2. استفاده از روش‌های امن برای بارگذاری فایل‌ها
بارگذاری فایل‌ها همیشه یکی از چالش‌های امنیتی در برنامه‌های وب بوده است. اگر نام فایل‌ها یا پسوندها به درستی بررسی نشوند، ممکن است کاربران مخرب بتوانند فایل‌های آلوده را به سرور آپلود کنند.
چگونه از آن محافظت کنیم؟
در لاراول، برای بارگذاری فایل‌ها از متدهای hashName() و extension() به‌جایgetClientOriginalName() استفاده کنید.
$file = $request->file('document');
$filename = $file->hashName();
$extension = $file->extension();
این روش، از حملات مخرب که از طریق تغییر نام فایل‌ها و پسوند آن‌ها صورت می‌گیرند، جلوگیری می‌کند.
برای آموزش کامل‌تر و یادگیری امنیت بارگذاری فایل‌ها در لاراول، به دوره مسترکلاس لاراول مراجعه کنید.
3. محافظت از فایل .env
فایل.env در لاراول اطلاعات حساسی مثل کلیدهای API و اطلاعات پایگاه داده را نگه‌داری می‌کند. در صورتی که این فایل به اشتباه در دسترس عموم قرار گیرد، می‌تواند خطرناک باشد.
چگونه از آن محافظت کنیم؟
- اطمینان حاصل کنید که فایل .env را در مخزن Git خود قرار ندهید.
- در سرورهای تولیدی، فایل‌های.env را به‌طور امن ذخیره کنید و فقط به کاربران مجاز اجازه دسترسی دهید.
4. استفاده از متدهای اعتبارسنجی داده‌ها
عدم اعتبارسنجی داده‌های ورودی، یکی از رایج‌ترین مشکلات امنیتی در بسیاری از برنامه‌های وب است. به‌خصوص زمانی که کاربر اطلاعات حساس مانند پسورد یا ایمیل را وارد می‌کند، اعتبارسنجی آن‌ها از اهمیت بالایی برخوردار است.
چگونه از آن محافظت کنیم؟
در لاراول، از Form Requestها برای اعتبارسنجی داده‌ها استفاده کنید تا از حملات مانند SQL Injection یا XSS جلوگیری کنید.
public function store(Request $request) {
$validated = $request->validate([
'email' => 'required|email',
'password' => 'required|min:8',
]);
5. جلوگیری از دسترسی به منابع حساس
در پروژه‌های لاراول، باید مطمئن شوید که کاربران تنها به منابع مجاز خود دسترسی دارند و هیچ‌گونه داده حساسی به اشتراک گذاشته نمی‌شود.
چگونه از آن محافظت کنیم؟
با استفاده از سیاست‌ها (Policies) و گیت‌ها (Gates) می‌توانید سطح دسترسی کاربران را کنترل کنید و اطمینان حاصل کنید که هر کاربر فقط به منابعی که مجاز به دسترسی به آن‌ها است، وارد می‌شود.
public function view(User $user, Post $post) {
return $user->id === $post->user_id;
}
6. محدود کردن تعداد درخواست‌ها (Rate Limiting)
برای جلوگیری از حملات DDoS (Distributed Denial of Service)، می‌توانید تعداد درخواست‌هایی که یک کاربر در زمان مشخصی ارسال می‌کند را محدود کنید.
چگونه از آن محافظت کنیم؟
لاراول از قابلیت Rate Limiting پشتیبانی می‌کند که می‌توانید برای هر API یا مسیر، محدودیت تعداد درخواست‌ها را تعیین کنید.
Route::middleware(['throttle:60,1'])->group(function () {
Route::get('/user', function () { // Route code });
});
7. جلوگیری از XSS (Cross-Site Scripting)
حملات XSS زمانی اتفاق می‌افتند که یک کاربر مخرب قادر به وارد کردن کد JavaScript در ورودی‌های فرم شما باشد. این کد می‌تواند در مرورگر دیگر کاربران اجرا شود.
چگونه از آن محافظت کنیم؟
در لاراول، برای جلوگیری از این حملات از توابع {{ }} برای نمایش داده‌ها استفاده کنید. این توابع به‌طور خودکار داده‌ها را escape می‌کنند.
{{ $user->name }}
8. محدود کردن اندازه فایل‌های آپلود شده
یکی از تهدیدات امنیتی که باید از آن جلوگیری کنید، بارگذاری فایل‌های بزرگ یا غیرمجاز است. ممکن است برخی از کاربران فایل‌هایی بزرگتر از حد مجاز یا فایل‌های خطرناک را بارگذاری کنند.
چگونه از آن محافظت کنیم؟
می‌توانید در فایل کانفیگ php.ini و همچنین در لاراول محدودیت‌هایی برای اندازه فایل‌ها قرار دهید:
'upload_max_filesize' => '2M',
'post_max_size' => '2M',
9. استفاده از Hashing برای پسوردها
یکی از اشتباهات رایج در بسیاری از برنامه‌های وب، ذخیره‌سازی پسوردها به‌صورت متن ساده است. این کار امنیت سیستم شما را به شدت کاهش می‌دهد.
چگونه از آن محافظت کنیم؟
در لاراول، از متد Hash::make() برای هش کردن پسوردها استفاده کنید. این روش به‌طور خودکار از الگوریتم‌های ایمن برای ذخیره‌سازی پسوردها استفاده می‌کند.
$password = Hash::make($request->password);
برای تایید هش، می‌توانید از متد Hash::check() استفاده کنید:
if (Hash::check($request->password, $user->password)) {
// کاربر وارد شده است
}
10. استفاده از Session Hijacking Prevention
Session Hijacking یکی از تهدیدات رایج است که می‌تواند موجب سرقت نشست کاربر شود. برای جلوگیری از این حملات، باید از ویژگی‌های امنیتی در Laravel مانند secure و httpOnly در کوکی‌ها استفاده کنید.
چگونه از آن محافظت کنیم؟
در فایل config/session.php می‌توانید ویژگی‌های امنیتی کوکی‌ها را تنظیم کنید:
'secure' => env('SESSION_SECURE_COOKIE', true)',
'http_only' => true,
این تنظیمات باعث می‌شود که کوکی‌ها تنها از طریق HTTPS ارسال شوند و دسترسی به آن‌ها از طریق جاوااسکریپت محدود شود.
نتیجه‌گیری با پیاده‌سازی این 10 نکته امنیتی در پروژه‌های لاراول خود، می‌توانید از برنامه‌تان در برابر تهدیدات مختلف محافظت کنید. امنیت یک فرآیند مداوم است و باید همیشه مراقب باشید که بهترین شیوه‌ها را برای محافظت از داده‌ها و منابع خود به کار ببرید.
اگر شما هم می‌خواهید به صورت حرفه‌ای‌تر و کاربردی‌تر لاراول را یاد بگیرید و در پروژه‌های خود پیاده‌سازی کنید، حتماً دوره‌های مسترکلاس لاراول و مسترکلاس API نویسی با لاراول را مشاهده کنید. این دوره‌ها به شما کمک می‌کنند که با تسلط بیشتری امنیت و عملکرد پروژه‌های لاراول خود را بهبود بخشید.