Seminar Laravel Authentifizierung, Autorisierung und Anwendungssicherheit

Inhaltsübersicht

• Seminarprofil
• Lernziele
• Inhalte
• Praxisübungen
• Zielgruppe und Voraussetzungen

Seminarprofil

Sicherheit wird nicht als nachträgliche Prüfung, sondern als Bestandteil von Architektur und Entwicklungsablauf behandelt. Das Seminar verbindet die Authentifizierungsmechanismen des Frameworks mit fachlicher Autorisierung, sicherer Eingabeverarbeitung und überprüfbaren Schutzmaßnahmen.

Die Übungen basieren auf realistischen Rollen-, Mandanten- und Token-Szenarien. Dabei wird bewusst zwischen Identitätsprüfung, Berechtigungsentscheidung, Datenschutz und betrieblicher Absicherung unterschieden.

Lernziele

• Authentifizierungsvarianten nach Anwendungstyp auswählen
• Guards, Provider, Starter Kits und Fortify-Funktionen einordnen
• Gates, Policies und Autorisierungsattribute konsistent anwenden
• SPA-, API- und persönliche Zugriffstoken mit Sanctum absichern
• häufige Schwachstellen in Eingaben, Dateien, Sessions und Fehlermeldungen vermeiden
• kritische Zugriffe mit automatisierten Tests nachweisen

Inhalte

Identitäten, Sessions und Authentifizierungsfluss

Guards, User Provider, Session-Sicherheit, Passwort-Reset, E-Mail-Verifikation, Multi-Faktor-Konzepte und Auswahl geeigneter Starter-Kit- oder Fortify-Bausteine.

• Guards und Provider
• Session- und Cookie-Sicherheit
• Passwort- und Verifikationsprozesse
• Mehrstufige Anmeldung

Token- und API-Authentifizierung

Sichere SPA-Anmeldung, persönliche Zugriffstoken, Fähigkeiten und Ablaufregeln mit Sanctum. Technische Abgrenzung zu OAuth-basierten Integrationen.

• Stateful SPA Authentication
• Personal Access Tokens
• Token-Fähigkeiten
• Widerruf und Rotation

Fachliche Autorisierung

Gates, Policies, Ressourcenberechtigungen, Mandantengrenzen und deklarative Autorisierung über Attribute. Vermeidung verteilter Rollenabfragen in Controllern und Views.

• Gates und Policies
• Ressourcenbezogene Rechte
• Mandantenisolation
• Autorisierungsattribute

Eingaben, Requests und Datenzugriff

Form Requests, Normalisierung, Mass-Assignment-Schutz, sichere Query-Bindings, Dateiuploads, Serialisierung und kontrollierte Fehlerausgaben.

• Validierung und Normalisierung
• Mass Assignment
• Datei- und Pfadschutz
• Datenminimierung

Framework-Schutzmechanismen

CSRF- und Request-Forgery-Schutz, Origin-Prüfung, Verschlüsselung, Hashing, Rate Limiting, sichere Konfiguration und Geheimnisverwaltung.

• CSRF und Request Forgery
• Encryption und Hashing
• Rate Limits
• Konfiguration und Secrets

Sicherheitstests und Betriebsprüfung

Negative Tests für unzulässige Zugriffe, Token-Missbrauch, Mandantentrennung und Rate Limits sowie Protokollierung sicherheitsrelevanter Ereignisse.

• Authentifizierungs- und Policy-Tests
• Missbrauchsszenarien
• Auditierbare Ereignisse
• Sichere Deployment-Checkliste

Praxisübungen

1. Schritt 1: Ein Rollen- und Ressourcenmodell mit klaren Vertrauensgrenzen erstellen.
2. Schritt 2: Anmeldung, Verifikation und Session-Schutz konfigurieren.
3. Schritt 3: Policies und Attribute für fachliche Operationen implementieren.
4. Schritt 4: Eine SPA- oder API-Authentifizierung mit Token-Fähigkeiten absichern.
5. Schritt 5: Negative Tests für fremde Ressourcen, abgelaufene Token und Rate Limits schreiben.
6. Schritt 6: Konfiguration und Protokollierung anhand einer Sicherheitscheckliste prüfen.

Zielgruppe und Voraussetzungen

Zielgruppe: Laravel-Entwickler, Backend- und Full-Stack-Entwickler, technische Architekten sowie Verantwortliche für sichere Web- und API-Anwendungen.

Voraussetzungen: Praktische Laravel-Grundlagen, insbesondere Routing, Controller, Middleware, Eloquent und Tests. Grundkenntnisse von Sessions und HTTP sind erforderlich.