Agent skill · security · affaan-m
laravel-security
Laravel セキュリティベストプラクティス：認証・認可、バリデーション、CSRF、一括割当、ファイルアップロード、シークレット管理、レート制限、安全なデプロイメント
Why this skill is useful
Provides specific security practices and code examples for Laravel applications that the AI wouldn't reliably generate on its own.
What it needs
About 2k tokens when loaded. Last updated 2026-08-06. 238,342 stars on the source repository.
What this skill does
Laravel セキュリティベストプラクティス Laravel アプリケーションを一般的な脆弱性から守るための包括的なセキュリティガイダンス。 アクティベートする時機 認証または認可を追加する場合 ユーザー入力とファイルアップロードを処理する場合 新しい API エンドポイントを構築する場合 シークレットと環境設定を管理する場合 本番環境デプロイメントを強化する場合 仕組み ミドルウェアは基本的な保護を提供（CSRF は VerifyCsrfToken 経由、セキュリティヘッダーは SecurityHeaders 経由） ガードとポリシーがアクセス制御を実施（auth:sanctum、$this->authorize、ポリシーミドルウェア） フォームリクエストが入力を検証し形成（UploadInvoiceRequest）サービスに到達する前に レート制限が不正使用保護を追加（RateLimiter::for('login')）認証制御と並行して データの安全性は暗号化されたキャスト、一括割当ガード、署名付きルート（URL::temporarySignedRoute + signed ミドルウェア）から来ます コアセキュリティ設定 APPDEBUG=false を本番環境で設定 APPKEY をセットして、漏洩時にはローテーション必須 SESSIONSECURECOOKIE=true と SESSIONSAMESITE=lax（または機密アプリケーションは strict）を設定 正しい HTTPS 検出のため、信頼できるプロキシを設定 セッションとクッキーの強化 SESSIONHTTPONLY=true を設定して JavaScript アクセスを防止 高リスクフローに対して SESSIONSAMESITE=strict を使用 ログイン時と権限変更時にセッションを再生成 認証とトークン Laravel Sanctum または Passport を API 認証に使用 機密データの場合、有効期限の短いトークンとリフレッシュフローを優先 ログアウトと侵害されたアカウントでトークンを無効化 ルート保護例： パスワードセキュリティ Hash::make() でパスワードをハッシュし、平文で保存しない パスワードリセットフロー用に Laravel のパスワードブローカーを使用 認可：ポリシーとゲート モデルレベルの認可にはポリシーを使用 コントローラーとサービスで認可を実施 ルートレベルの実施にはポリシーミドルウェアを使用： バリデーションとデータサニタイゼーション フォームリクエストで常にユーザー入力をバリデーション 厳密なバリデーションルールと型チェックを使用 リクエストペイロードを派生フィールドに信頼しない 一括割当保護 $fillable または $guarded を使用して、Model::unguard() は回避 DTO またはかば詰明示的な属性マッピングを優先 SQL インジェクション防止 Eloquent またはクエリビルダーのパラメータバインディングを使用 厳密に必要でない限り生 SQL を回避 XSS 防止 Blade は標準で出力をエスケープ（{{ }}） {!! !!} は信頼できる、サニタイズされた HTML にのみ使用 リッチテキストを専用ライブラリでサニタイズ CSRF 保護 VerifyCsrfToken ミドルウェアを有効に保つ フォームに @csrf を含めて、SPA リクエストで XSRF トークンを送信 SPA 認証（Sanctum）の場合、ステートフルなリクエストが設定されていることを確認： ファイルアップロード安全性 ファイルサイズ、MIME タイプ、拡張子をバリデーション 可能な場合、公開パスの外にアップロードを保存 必要に応じてファイルをマルウェアスキャン レート制限 認証とライトエンドポイントに throttle ミドルウェアを適用 ログイン、パスワードリセット、OTP にはより厳しい制限を使用 シークレットと認証情報 シークレットをソースコントロールにコミットしない 環境変数とシークレットマネージャーを使用 公開後はキーをローテーション、セッションを無効化 暗号化された属性 保存中のシックレット列には暗号化されたキャストを使用。 セキュリティヘッダー 必要に応じて CSP、HSTS、フレーム保護を追加 HTTPS リダイレクトを実施するために信頼できるプロキシ設定を使用 ヘッダーを設定するためのミドルウェア例： CORS と API 公開 config/cors.php でオリジンを制限 認証済みルートではワイルドカードオリジンを回避 ログと個人情報 パスワード、トークン、フルカードデ …
How to use it
Reference it in AdaL, Claude Code, Cursor or any coding agent — nothing to install:
@skills affaan-m/laravel-security--ef953f