laravel-security

laravel-security 技能總覽

laravel-security 技能是做什麼的

laravel-security 技能是一份實用的 Laravel 安全檢查清單與流程指南，幫助你在應用上線前把安全性補強到位。它聚焦在真正會影響實作的重點：authn/authz、驗證、CSRF、mass assignment、檔案上傳、秘密資訊、rate limiting，以及安全部署。

誰適合使用它

如果你正在稽核既有的 Laravel 程式碼庫、審查帶有安全風險的新功能，或把安全需求轉成具體的 Laravel 設定與 middleware，就很適合用 laravel-security 技能。它特別適合工程師、審查者，以及執行 laravel-security for Security Audit 工作的 agents。

它為什麼有用

它的主要價值在於提供決策支援：告訴你什麼時候該啟用這個技能、哪些 Laravel 原語最重要，以及如何在不靠猜測的情況下強化常見攻擊面。當你需要 Laravel 專屬控制項，例如 policies、Form Requests、signed routes、cookie 設定與 production-safe configuration 時，它比一般泛用 prompt 更好用。

如何使用 laravel-security 技能

在工作區安裝這個技能

進行 laravel-security install 時，請依照 repository 的安裝流程，把這個 skill 加到你的 Claude Code 或任何支援 skills 的環境中，然後從安裝後的套件開啟 skill 檔案。如果你是直接使用 source repo，請從 skills/laravel-security/SKILL.md 開始。

先讀對的檔案

先從 SKILL.md 讀起，再追蹤它提到的任何 Laravel 範例或參考內容。這個 repository 沒有需要額外瀏覽的 helper folders，所以核心價值都集中在 skill 本體。也就是說，第一輪應該把重點放在 “When to Activate”、How It Works，以及各個安全設定區塊。

用安全導向的 prompt 來問

laravel-security usage 最有效的方式，是提供明確目標，而不是模糊需求。例如：Audit my Laravel 11 API for auth bypass, unsafe file uploads, weak session settings, and missing rate limiting; return fixes by file and risk. 同時帶上 framework 版本、應用類型，以及你的目標是 audit、hardening，還是 feature review。

放進審查工作流程裡使用

一個好的 laravel-security guide 工作流程是：先找出風險區域，再把它對應到 Laravel primitives，最後同時檢查 config 與程式碼。建議一次就要求 middleware、Form Request、policy、route，以及 .env 的建議，這樣輸出才會保持可直接行動，而不是零散片段。

laravel-security 技能 FAQ

laravel-security 只適合稽核嗎？

不是。它也很適合在功能開發期間使用，尤其是新增登入流程、上傳、API endpoints，或 production 部署設定時。它適用於 security review、remediation planning 與預防性設計。

什麼情況下它不太適合？

不要把它當成非 Laravel stack、深度基礎設施加固，或法律／合規解讀的工具。它也不能取代完整的 penetration test；它最擅長的是 code-level 與 app-level 的 Laravel 安全決策。

它和一般 prompt 有什麼不同？

一般 prompt 可能只會給你泛用建議，但 laravel-security skill 會把你導向 Laravel 專屬機制，例如 VerifyCsrfToken、RateLimiter::for()、policy middleware、signed routes，以及 session/cookie 控制。這讓輸出更容易直接套用到 Laravel repo 裡。

初學者也能用嗎？

可以，只要你能描述應用和風險區域。初學者最能從中受益的方式，是要求一份有優先順序的 checklist，並提供一小段程式碼或設定，例如 auth routes、upload handlers，或 config/session.php。

如何改進 laravel-security 技能

先把安全背景說清楚

最好的結果來自一開始就說明你需要哪一類安全工作：audit、hardening、incident response，或 feature review。再補上 Laravel 版本、驗證系統、部署目標，以及任何限制條件，例如 Sanctum、APIs、multi-tenant access 或檔案上傳。

要求具體檢查，不要只問大方向建議

當你要求明確的失敗模式時，這個技能會更有用：缺少 authorization、session 設定過弱、不安全的 mass assignment、不安全的上傳處理，或缺少 rate limits。一個更好的 prompt 會是：Review this controller and request class for authz gaps, validation bypasses, and unsafe file handling; suggest exact Laravel changes.

從發現一路追到修正

第一次回合後，把最高風險的發現回饋回去，再要求更聚焦的第二輪審查。例如只要求 only session and cookie hardening，或 only route authorization and signed URL coverage。這樣可以減少雜訊，並產生更精準的 laravel-security 建議。

以應用程式的實際設定來驗證

最常見的失敗模式，是只丟程式碼，卻沒有提供 .env、middleware、route，或部署脈絡。請把相關設定檔，以及控制存取的路徑一起提供，讓建議能對應真實情況，而不是建立在假設上。