Laravel提交含法语音符/单引号表单返回403未触发路由问题

问题根因 #

你遇到的403错误并非Laravel框架触发，而是服务器层面的Web应用防火墙（WAF，最常见为Apache的mod_security模块）拦截导致：

• 请求还没到达Laravel的路由处理层就被WAF拦截，所以Laravel日志没有任何报错记录，无中间件的测试路由也不会被触发。
• 触发拦截的原因是法语省音结构（比如d'alternatives、l'offre）刚好匹配了WAF的SQL注入检测规则：这类规则通常会拦截「单个小写字母+单引号+小写字母」的特征，用于防御'or 1=1这类常见SQL注入payload，而英文的doin'单引号在单词末尾，不会命中该特征，所以提交正常。
• 你更新的复现规律也完全验证了这一点：只有单引号前只有1个字母时会触发拦截，单引号前有2个及以上字母时就不会命中规则。

解决方案 #

方案1：前端绕开规则（最快生效） #

提交CKEditor内容前，对富文本字段做编码处理：

• 可以把整个description字段的内容用base64编码后再提交，后端接收后解码再存入数据库，完全避开WAF的特征检测。
• 也可以配置CKEditor的输出规则，提前将法语省音的单引号转义为'等HTML实体，降低命中规则的概率。

方案2：调整服务器WAF规则（彻底解决） #

• 如果服务器自行部署，先临时关闭mod_security验证是否是该模块导致的拦截：如果关闭后提交正常，找到触发拦截的对应规则ID，给/update-customer路由或description字段添加规则白名单即可，无需关闭整个WAF。
• 如果是虚拟主机或云服务商自带WAF，到控制台的安全配置页面，将该提交路由加入WAF白名单，或调整SQL注入检测的严格度即可。

额外注意点 #

你提供的表单代码里enctype属性值前多了一个多余空格'enctype'=> ' multipart/form-data'，虽然不是本次问题的原因，建议修正避免其他潜在问题。

内容的提问来源于stack exchange，提问作者Linesofcode