未使用Sanctum/Passport的Laravel API是否安全？自定义Token方案咨询

我的计划是导入CSV文件并基于其中信息创建用户，同时为每个用户生成access token，后续将其展示在二维码中，扫码即可将API URL和token导入App。

我按照Laravel 5.8官方文档创建了控制器，生成随机字符串存入api_token字段，认证功能运行正常，但不确定该方案用于公网环境是否安全，希望了解如何验证API数据是否得到充分保护。

当前实现代码 #

控制器store方法 #

public function store(Request $request)
{
    $request->validate([
        'Key1' => 'required', #etc
    ]);

    return betreuer::create([

        'Key1' => $request["Key1"], #etc
        'api_token' => Str::random(60),
    ]);
}

config/auth.php配置 #

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'users',
    ],
    'api' => [  #added api 
        'driver' => 'token',
        'provider' => 't_betreuer',
        'hash' => false,
    ],
],

'providers' => [
    'users' => [
        'driver' => 'eloquent',
        'model' => App\Models\User::class,
    ],
    't_betreuer' => [  #added custom model and table
        'driver' => 'eloquent',
        'model' => App\Models\betreuer::class,
    ],

],

api.php受保护路由示例 #

Route::group(['middleware' => 'auth:api'], function(){
    Route::resource('betreuer', controller_betreuer::class);
});

公网环境下的安全验证建议 #

• 启用Token哈希存储
  当前auth.php中api guard的hash设为false，意味着api_token是明文存储在数据库里的。一旦数据库泄露，所有用户的Token都会直接暴露。Laravel 5.8支持哈希存储Token，只需将hash改为true：

  'api' => [
      'driver' => 'token',
      'provider' => 't_betreuer',
      'hash' => true,
  ],
  

  注意：修改后，新生成的Token会被哈希存储，旧的明文Token会失效，需要重新生成。

• 强制HTTPS传输
  公网环境下必须用HTTPS，防止Token在传输过程中被窃听。可以在Laravel中通过中间件强制HTTPS：

  • 创建全局中间件，在handle方法中添加：

    if (!$request->secure() && app()->environment('production')) {
        return redirect()->secure($request->getRequestUri());
    }
    return $next($request);
    

  • 将中间件注册到app/Http/Kernel.php的$middleware数组中。

• 限制Token的权限与有效期

  • 权限细分：不要给所有用户相同的API权限，根据用户角色配置路由中间件，比如添加role:admin这类自定义中间件，限制不同角色能访问的API接口。
  • 添加有效期：给betreuer表增加api_token_expires_at字段，在生成Token时设置过期时间，然后自定义认证逻辑，在请求时检查Token是否过期。示例：
    在模型中生成Token时：

    'api_token' => Str::random(60),
    'api_token_expires_at' => now()->addDays(30), // 设置30天有效期
    

    自定义认证逻辑，可在auth.php中调整驱动，或者添加中间件验证过期时间。

• 验证Token传输方式
  确保客户端将Token放在请求头（比如Authorization: Bearer {token}）中，而不是URL参数里——URL参数会被记录在服务器日志、浏览器历史中，更容易泄露。Laravel的Token认证默认支持从请求头获取Token，也可以在auth.php中配置input_key指定其他传输方式，但优先推荐请求头。

• 监控与日志审计

  • 记录所有API请求的Token、用户ID、请求路径、时间，一旦出现异常访问（比如同一个Token短时间内多次请求、访问未授权接口），可以及时发现并失效该Token。
  • 实现Token失效机制：提供接口让用户手动刷新或失效Token，当用户报告Token泄露时，能快速禁用。

• 验证CSV导入的安全性
  导入CSV时要做严格校验：

  • 验证CSV文件的格式、字段完整性，防止恶意数据注入。
  • 导入过程不要暴露在公网，只允许内部管理员操作，添加身份验证和权限控制。

内容的提问来源于stack exchange，提问作者Peterpan007