Як безпечно зберігати та обробляти конфіденційні дані (PII, паролі, ключі)?

Паролі - лише одностороннє хешування (Bcrypt/Argon2): Hash::make() / Hash::check(). Ніколи не шифрування й не власні алгоритми. PII (двостороннє) - Crypt::encryptString() або каст encrypted на атрибуті моделі: protected $casts = ['ssn' => 'encrypted']; Ключі та секрети - у .env / секретних сховищах (AWS Secrets Manager, Vault), не в git. Ротація APP_KEY потребує перешифрування. Транзит - лише HTTPS/TLS. Логи - маскувати PII; уникати dd() у проді. Доступ - принцип найменших привілеїв, audit log (наприклад, spatie/laravel-activitylog). Докладніше в документації: Шифрування

Senior: питання на співбесіді з теми «Безпека»

Q: Як працює Content Security Policy (CSP)?

CSP - HTTP-заголовок, що визначає, з яких джерел дозволено завантажувати ресурси (скрипти, стилі, зображення). Це потужний захист від XSS: навіть якщо зловмисник впровадить , браузер не виконає його, якщо джерело не дозволене. Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; img-src 'self' data:; У Laravel заголовок додають через middleware (вручну або пакетом на кшталт spatie/laravel-csp). Практики: Уникати 'unsafe-inline' - використовувати nonce для інлайн-скриптів. Спершу режим report-only (Content-Security-Policy-Report-Only) зі збором звітів, щоб не зламати сайт.

Найпопулярніші питання з реальних Laravel/PHP співбесід для всіх рівнів

Режим флеш-карток

Всі рівні Junior Middle Senior

Всі теми API Authentication Caching Database Debugging DevOps Livewire Performance PHP Queues Search Service Container Testing Архітектура Безпека Масштабування

2 питання

Паролі - лише одностороннє хешування (Bcrypt/Argon2): Hash::make() / Hash::check(). Ніколи не шифрування й не власні алгоритми.
PII (двостороннє) - Crypt::encryptString() або каст encrypted на атрибуті моделі:
```
protected $casts = ['ssn' => 'encrypted'];
```
Ключі та секрети - у .env / секретних сховищах (AWS Secrets Manager, Vault), не в git. Ротація APP_KEY потребує перешифрування.
Транзит - лише HTTPS/TLS.
Логи - маскувати PII; уникати dd() у проді.
Доступ - принцип найменших привілеїв, audit log (наприклад, spatie/laravel-activitylog).

Докладніше в документації: Шифрування

CSP - HTTP-заголовок, що визначає, з яких джерел дозволено завантажувати ресурси (скрипти, стилі, зображення). Це потужний захист від XSS: навіть якщо зловмисник впровадить <script>, браузер не виконає його, якщо джерело не дозволене.

Content-Security-Policy: default-src 'self';
    script-src 'self' https://cdn.example.com;
    img-src 'self' data:;

У Laravel заголовок додають через middleware (вручну або пакетом на кшталт spatie/laravel-csp).

Практики:

Уникати 'unsafe-inline' - використовувати nonce для інлайн-скриптів.
Спершу режим report-only (Content-Security-Policy-Report-Only) зі збором звітів, щоб не зламати сайт.