Як безпечно зберігати та обробляти конфіденційні дані (PII, паролі, ключі)?

Паролі - лише одностороннє хешування (Bcrypt/Argon2): Hash::make() / Hash::check(). Ніколи не шифрування й не власні алгоритми. PII (двостороннє) - Crypt::encryptString() або каст encrypted на атрибуті моделі: protected $casts = ['ssn' => 'encrypted']; Ключі та секрети - у .env / секретних сховищах (AWS Secrets Manager, Vault), не в git. Ротація APP_KEY потребує перешифрування. Транзит - лише HTTPS/TLS. Логи - маскувати PII; уникати dd() у проді. Доступ - принцип найменших привілеїв, audit log (наприклад, spatie/laravel-activitylog). Докладніше в документації: Шифрування

Senior: питання на співбесіді з теми «Безпека»

Q: Як працює Content Security Policy (CSP)?

CSP - HTTP-заголовок, що визначає, з яких джерел дозволено завантажувати ресурси (скрипти, стилі, зображення). Це потужний захист від XSS: навіть якщо зловмисник впровадить , браузер не виконає його, якщо джерело не дозволене. Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; img-src 'self' data:; У Laravel заголовок додають через middleware (вручну або пакетом на кшталт spatie/laravel-csp). Практики: Уникати 'unsafe-inline' - використовувати nonce для інлайн-скриптів. Спершу режим report-only (Content-Security-Policy-Report-Only) зі збором звітів, щоб не зламати сайт.

Найпопулярніші питання з реальних Laravel/PHP співбесід для всіх рівнів

Режим флеш-карток

Всі рівні Junior Middle Senior

Всі теми API Authentication Authorization Broadcasting Caching Collections Database Debugging DevOps Eloquent Enums Events Filament Files HTTP та Request Livewire Mail Middleware Notifications Pagination Performance PHP Queues Scheduling Search Seeder Service Container Service Providers Testing Архітектура Безпека Локалізація Масштабування

2 питання

Паролі - лише одностороннє хешування (Bcrypt/Argon2): Hash::make() / Hash::check(). Ніколи не шифрування й не власні алгоритми.
PII (двостороннє) - Crypt::encryptString() або каст encrypted на атрибуті моделі:
```
protected $casts = ['ssn' => 'encrypted'];
```
Ключі та секрети - у .env / секретних сховищах (AWS Secrets Manager, Vault), не в git. Ротація APP_KEY потребує перешифрування.
Транзит - лише HTTPS/TLS.
Логи - маскувати PII; уникати dd() у проді.
Доступ - принцип найменших привілеїв, audit log (наприклад, spatie/laravel-activitylog).

Докладніше в документації: Шифрування

CSP - HTTP-заголовок, що визначає, з яких джерел дозволено завантажувати ресурси (скрипти, стилі, зображення). Це потужний захист від XSS: навіть якщо зловмисник впровадить <script>, браузер не виконає його, якщо джерело не дозволене.

Content-Security-Policy: default-src 'self';
    script-src 'self' https://cdn.example.com;
    img-src 'self' data:;

У Laravel заголовок додають через middleware (вручну або пакетом на кшталт spatie/laravel-csp).

Практики:

Уникати 'unsafe-inline' - використовувати nonce для інлайн-скриптів.
Спершу режим report-only (Content-Security-Policy-Report-Only) зі збором звітів, щоб не зламати сайт.