Bezpečnost v Laravelu

Question 1

Před čím chrání $fillable, respektive $guarded na modelu?

Accepted Answer

Před mass assignmentem — útočník přes create() či update() nenastaví sloupce, které jste nepovolili

Question 2

Kolega nastavil na modelu $guarded = []; a v controlleru volá User::create($request->all()). Proč je to nebezpečné, i když to „funguje"?

Accepted Answer

Prázdné $guarded vypne ochranu proti mass assignmentu úplně, takže útočník může nastavit libovolný sloupec včetně is_admin

Question 3

Jak Eloquent a Query Builder standardně brání SQL injection a kde si díru snadno otevřete zpět?

Accepted Answer

Používají parametrizované dotazy a hodnoty předávají jako binding; díru otevřete, když do whereRaw() či selectRaw() skládáte řetězec ze vstupu

Question 4

Kdy Blade výstup neescapuje a hrozí XSS?

Accepted Answer

Při použití {!! $var !!}

Question 5

K čemu slouží direktiva @csrf ve formulářích?

Accepted Answer

Ověřuje, že požadavek vznikl z vaší aplikace, ne z podvrženého webu

Question 6

Máte stateless API chráněné Sanctum tokenem, který klient posílá v hlavičce Authorization: Bearer. Potřebují tyto routy CSRF ochranu?

Accepted Answer

Ne — CSRF token je potřeba u autentizace přes session cookie; token v hlavičce prohlížeč sám nepřipojí, takže CSRF útok tu nedává smysl

Question 7

Jak Laravel standardně ukládá hesla uživatelů?

Accepted Answer

Jednosměrně je hashuje přes Hash::make() algoritmem bcrypt nebo argon2

Question 8

Ověřujete příchozí API klíč tak, že ho porovnáte s uloženým přes ===. Kde je slabina a jak ji odstranit?

Accepted Answer

Porovnání === končí na první odlišné pozici, což otevírá timing útok; správně je hash_equals() pro porovnání v konstantním čase

Question 9

Potřebujete uložit API token třetí strany tak, abyste ho později mohli znovu použít při volání jejich API. Co je správně?

Accepted Answer

Crypt::encryptString() — reverzibilní šifrování přes APP_KEY

Question 10

Citlivá pole máte v databázi zašifrovaná přes Crypt (encrypted cast). Co se stane, když vygenerujete nový APP_KEY?

Accepted Answer

Data zašifrovaná starým klíčem už nepůjdou dešifrovat a znehodnotí se i šifrované cookies a session — proto se klíč rotuje jen s promyšlenou migrací dat

Question 11

Chcete poslat odkaz na stažení faktury platný 24 hodin, bez nutnosti přihlášení. Co je nejvhodnější?

Accepted Answer

Podepsaná dočasná URL přes URL::temporarySignedRoute()

Question 12

Na produkčním serveru najdete v .env nastavené APP_DEBUG=true. Proč je to bezpečnostní problém?

Accepted Answer

Chybové stránky vypíšou stack trace, výřez kódu a hodnoty konfigurace i proměnných prostředí, takže útočník získá citlivé údaje o aplikaci

Question 13

Přihlašovací endpoint /login je terčem hádání hesel. Jaká obrana je pro tento scénář nejpřímočařejší?

Accepted Answer

Omezit počet pokusů přes rate limiting (RateLimiter / throttle) podle kombinace e-mailu a IP; po překročení vrátit 429