tag
Laravel
該標籤下有 3 篇文章
2026-07-02
Laravel 資安對策 — 正式環境的加固參考
Laravel 的預設值很強；正式環境的事故來自設定與維運。這是一份可實作的參考：(1) 依優先度排序的加固檢查清單（P0–P2）、(2) 一張危險預設值的表格、(3) 各領域指引——機密／APP_KEY、正式環境設定（APP_DEBUG／快取）、授權（Policy/Gate、Mass Assignment）、注入／輸出（Eloquent 綁定、Blade）、工作階段／CSRF／cookie、上傳、HTTPS／標頭／限流、Composer 相依套件 CVE，以及 (4) 自我驗證檢查清單。純防禦——不含攻擊步驟。
危急2026-06-07
Laravel 的 .env 被公開讀取的案例：共享虛擬主機上的部署位置錯誤與修復方法
根本原因是『把應用程式本體放到了 public_html 目錄正下方』。本該只暴露 public/。按暫時用 .htaccess 封鎖→金鑰輪換→結構改造三個階段修復，並用機制防止再次發生。
2026-06-07
在虛擬主機上避免 .env 被公開的目錄配置與設定
主要對策是把應用程式主體放在 docroot 之外，只公開 public/。先用 .htaccess 封鎖存取，再用結構改造做長期修復，最後自我檢查。本站的看法：這不是個人的疏忽，而是一種危險的配置在業界成了標準，所以要靠流程而不是靠注意力來防。bootstrap-redirect 比 symlink 更穩。