Junior: питання на співбесіді з теми «Безпека»

Q: Що таке CSRF і як Laravel захищає від нього?

CSRF (Cross-Site Request Forgery) - це атака, коли сторонній сайт змушує браузер автентифікованого користувача надіслати небажаний запит на ваш застосунок, використовуючи його активну сесію (наприклад, прихована форма, що переказує гроші). Як Laravel захищає: для кожної активної сесії генерується унікальний CSRF-токен. Middleware ValidateCsrfToken перевіряє цей токен для всіх «небезпечних» методів - POST, PUT, PATCH, DELETE. Запити без валідного токена відхиляються з кодом 419. У формах додають директиву @csrf, яка вставляє прихований інпут із токеном: @csrf Зберегти Для AJAX токен передають у заголовку X-CSRF-TOKEN (зазвичай із ): fetch('/profile', { method: 'POST', headers: { 'X-CSRF-TOKEN': token }, }); GET-запити токена не потребують (вони мають бути безпечними й не змінювати стан). Для stateless API на токенах (Sanctum) CSRF не застосовується. Докладніше в документації: CSRF-захист

Q: Що таке Mass Assignment і як від нього захиститися?

Mass Assignment - це присвоєння групи атрибутів моделі з масиву (наприклад, Model::create($request->all())). Вразливість виникає, коли користувач підкидає неочікувані поля (скажімо, is_admin). Захист - білий або чорний список у моделі: protected $fillable = ['title', 'body']; // дозволено лише ці // або protected $guarded = ['id', 'is_admin']; // заборонено ці Найкраща практика: не передавати $request->all(), а валідувати й передавати $request->validated(). Докладніше в документації: Mass Assignment

Найпопулярніші питання з реальних Laravel/PHP співбесід для всіх рівнів

Режим флеш-карток

Всі рівні Junior Middle Senior

Всі теми Artisan Authentication Blade Collections Database Debugging Eloquent Enums Files HTTP та Request Mail Middleware MVC та архітектура Pagination Routing Seeder Testing Архітектура Безпека Валідація Конфігурація Локалізація Міграції Сесії

2 питання

CSRF (Cross-Site Request Forgery) - це атака, коли сторонній сайт змушує браузер автентифікованого користувача надіслати небажаний запит на ваш застосунок, використовуючи його активну сесію (наприклад, прихована форма, що переказує гроші).

Як Laravel захищає: для кожної активної сесії генерується унікальний CSRF-токен. Middleware ValidateCsrfToken перевіряє цей токен для всіх «небезпечних» методів - POST, PUT, PATCH, DELETE. Запити без валідного токена відхиляються з кодом 419.

У формах додають директиву @csrf, яка вставляє прихований інпут із токеном:

<form method="POST" action="/profile">
    @csrf
    <input name="email" type="email">
    <button>Зберегти</button>
</form>

Для AJAX токен передають у заголовку X-CSRF-TOKEN (зазвичай із <meta name="csrf-token">):

fetch('/profile', {
    method: 'POST',
    headers: { 'X-CSRF-TOKEN': token },
});

GET-запити токена не потребують (вони мають бути безпечними й не змінювати стан). Для stateless API на токенах (Sanctum) CSRF не застосовується.

Докладніше в документації: CSRF-захист

Mass Assignment - це присвоєння групи атрибутів моделі з масиву (наприклад, Model::create($request->all())). Вразливість виникає, коли користувач підкидає неочікувані поля (скажімо, is_admin).

Захист - білий або чорний список у моделі:

protected $fillable = ['title', 'body']; // дозволено лише ці
// або
protected $guarded = ['id', 'is_admin']; // заборонено ці

Найкраща практика: не передавати $request->all(), а валідувати й передавати $request->validated().

Докладніше в документації: Mass Assignment