Question 1

Що таке верифікація email (Email Verification) в Laravel?

Accepted Answer

Верифікація email підтверджує, що користувач справді володіє вказаною адресою. Laravel має це з коробки.

```php
// 1. Модель реалізує контракт
class User extends Authenticatable implements MustVerifyEmail {}

// 2. Маршрути захищають middleware
Route::get('/dashboard', ...)->middleware(['auth', 'verified']);
```

Як працює: після реєстрації Laravel шле лист із **підписаним URL** (signed URL), перехід за яким ставить `email_verified_at`. Middleware `verified` не пускає непідтверджених користувачів. Подія `Registered` автоматично тригерить відправку листа.

[Докладніше в документації: Верифікація email](https://laravel.com/docs/verification)

Question 2

Чим відрізняються Sanctum, Passport, Fortify та Breeze?

Accepted Answer

Це різні рівні автентифікації:

- **Breeze** - стартовий набір UI: реєстрація/вхід/скидання пароля на Blade+Livewire або React/Vue. Для швидкого старту.
- **Fortify** - headless-бекенд автентифікації (без UI): логіка реєстрації, 2FA, скидання пароля. Під ним працює Breeze/Jetstream.
- **Sanctum** - легка автентифікація для SPA (через cookie) та простих API-токенів. Дефолт для більшості API.
- **Passport** - повноцінний **OAuth2**-сервер: видача access/refresh токенів стороннім клієнтам. Обирають, коли потрібен саме OAuth2.

Правило: SPA чи мобільний застосунок → Sanctum; «увійти через наш сервіс» для третіх сторін → Passport.

[Докладніше в документації: Sanctum](https://laravel.com/docs/sanctum)

Question 3

Як працює автентифікація API через Laravel Sanctum?

Accepted Answer

**Sanctum** дає два режими:

**1. API-токени** - модель випускає токен, який клієнт шле в заголовку `Authorization: Bearer ...`:

```php
$token = $user->createToken('mobile', ['posts:read'])->plainTextToken;

Route::middleware('auth:sanctum')->get('/user', fn (Request $r) => $r->user());
```

**2. SPA-автентифікація** - для односторінкових застосунків на тому ж домені використовує звичайні сесійні cookie + CSRF (без зберігання токенів у JS, що безпечніше).

Токени підтримують **abilities** (scopes): `$user->tokenCan('posts:read')`. Трейт `HasApiTokens` додає `tokens()`-зв'язок і `createToken()`.

[Докладніше в документації: Sanctum: API-токени](https://laravel.com/docs/sanctum#api-token-authentication)

Question 4

Що таке Two-Factor Authentication (2FA) і як її реалізувати?

Accepted Answer

**2FA** вимагає двох факторів: «що знаю» (пароль) + «що маю» (код із застосунку/SMS). Найпоширеніше - **TOTP** (Time-based One-Time Password) сумісно з Google Authenticator.

У Laravel найпростіше через **Fortify**, який має 2FA з коробки:
- генерація секрету й QR-коду для прив'язки;
- перевірка 6-значного коду при вході;
- одноразові **recovery codes** на випадок втрати пристрою.

```php
// Fortify вмикає features:
Features::twoFactorAuthentication(['confirm' => true]),
```

Під капотом - пакет `pragmarx/google2fa`. Важливо: зберігати секрет зашифрованим, давати recovery-коди, за бажанням «запам'ятати пристрій».

[Докладніше в документації: Двофакторна автентифікація (Fortify)](https://laravel.com/docs/fortify#two-factor-authentication)

Питання на співбесіді: Authentication