在構(gòu)建現(xiàn)代應(yīng)用程序時，Laravel 脫穎而出，成為 Web 開發(fā)的流行選擇。憑借其龐大的生態(tài)系統(tǒng)，Laravel Reverb 等工具有助于增強(qiáng)開發(fā)人員體驗，從而更輕松地管理后端流程。然而，與任何工具一樣，安全性必須是重中之重。

我將嘗試探索關(guān)鍵實踐和可行步驟來保護(hù) Laravel Reverb 并確保您的實現(xiàn)免受潛在漏洞的影響。

1?.了解 Laravel Reverb 的作用

Laravel Reverb 充當(dāng)消息代理和事件管理器，促進(jìn)服務(wù)之間的通信。默認(rèn)情況下，它與 Laravel 的隊列和事件系統(tǒng)深度集成。然而，由于它涉及實時數(shù)據(jù)處理，錯誤配置可能會使敏感操作遭受攻擊。

潛在風(fēng)險

• 未經(jīng)授權(quán)訪問排隊事件。
• 操作事件數(shù)據(jù)。
• 端點過度曝光。

2?.保護(hù)您的隊列配置

Laravel Reverb 依賴于隊列驅(qū)動程序。配置錯誤的隊列系統(tǒng)可能會導(dǎo)致漏洞。

環(huán)境特定驅(qū)動程序：為 Redis 等生產(chǎn)環(huán)境使用安全驅(qū)動程序。避免在生產(chǎn)中使用數(shù)據(jù)庫或同步。這些驅(qū)動程序可能會帶來性能和安全問題。數(shù)據(jù)庫驅(qū)動程序會增加大量數(shù)據(jù)庫負(fù)載，使其容易受到 DoS 攻擊，并且如果數(shù)據(jù)庫受到損害，可能會暴露敏感作業(yè)數(shù)據(jù)。同步驅(qū)動程序同步執(zhí)行作業(yè)，增加了因錯誤而暴露敏感信息的風(fēng)險，并造成攻擊者可利用的瓶頸來使應(yīng)用程序過載。

QUEUE_CONNECTION=redis

Redis 身份驗證： 對 Redis 連接使用強(qiáng)密碼。

REDIS_PASSWORD=your_secure_password

TLS 加密： 如果遠(yuǎn)程使用基于云的隊列，請啟用 TLS 以實現(xiàn)安全通信。當(dāng) Redis 或其他隊列驅(qū)動程序托管在外部時，這一點尤其重要。對于安全網(wǎng)絡(luò)上的內(nèi)部托管隊列，可能不需要 TLS。

3?.驗證事件數(shù)據(jù)

始終驗證事件和偵聽器之間傳遞的數(shù)據(jù)。 Laravel 提供了驗證工具，應(yīng)在事件調(diào)度和監(jiān)聽階段應(yīng)用。

示例：

use Illuminate\Support\Facades\Validator;

class SecureEvent
{
    public function __construct(array $data)
    {
        Validator::make($data, [
            'user_id' => 'required|integer',
            'action'  => 'required|string|max:255',
        ])->validate();

        $this->data = $data;
    }
}

4?.安全 API 端點

Laravel Reverb 經(jīng)常公開用于管理事件和隊列的 API 端點。限制對這些端點的訪問。

示例：

中間件保護(hù)：使用身份驗證和授權(quán)中間件。

Route::middleware(['auth:sanctum', 'verified'])->group(function () {
    Route::post('/reverb/dispatch', [ReverbController::class, 'dispatch']);
});

速率限制：通過限制 API 請求來防止濫用。

QUEUE_CONNECTION=redis

5?.安全通道配置

Laravel Reverb 通道決定事件的廣播方式以及誰可以訪問它們。配置錯誤的通道可能會暴露敏感數(shù)據(jù)或允許未經(jīng)授權(quán)的訪問。

公共頻道：

任何知道頻道名稱的人都可以訪問公共頻道。避免使用公共渠道獲取敏感信息。

示例：

REDIS_PASSWORD=your_secure_password

僅將公共渠道用于非敏感數(shù)據(jù)，例如通知或一般更新。

私人頻道：

私人頻道在加入前需要身份驗證。將它們用于與經(jīng)過身份驗證的用戶相關(guān)的事件。

示例：

use Illuminate\Support\Facades\Validator;

class SecureEvent
{
    public function __construct(array $data)
    {
        Validator::make($data, [
            'user_id' => 'required|integer',
            'action'  => 'required|string|max:255',
        ])->validate();

        $this->data = $data;
    }
}

存在頻道：

在線通道通過允許服務(wù)器實時跟蹤哪些用戶在線來擴(kuò)展私人通道。實施嚴(yán)格的身份驗證，防止未經(jīng)授權(quán)的訪問。

示例：

Route::middleware(['auth:sanctum', 'verified'])->group(function () {
    Route::post('/reverb/dispatch', [ReverbController::class, 'dispatch']);
});

6?.隊列存儲過載

當(dāng)一次添加太多作業(yè)時會發(fā)生隊列過載，從而導(dǎo)致延遲。使用 Laravel 的 ThrottlesExceptions 中間件來限制作業(yè)處理（例如 5 個作業(yè)/秒）并使用 Supervisor 等工具管理工作人員以確保系統(tǒng)穩(wěn)定性。

Route::middleware('throttle:60,1')->group(function () {
    Route::post('/reverb/dispatch', [ReverbController::class, 'dispatch']);
});

7?.事件重放攻擊

重放攻擊重新發(fā)送攔截的事件以利用您的系統(tǒng)。向事件添加唯一的 ID 和時間戳，在客戶端和服務(wù)器上驗證它們以防止重復(fù)并確保僅處理新事件。

實施唯一令牌：

Broadcast::channel('public-channel', function () {
    return true;  
});

通過在客戶端跟蹤 uniqueId 來防止重復(fù)處理同一事件：

Broadcast::channel('private-channel.{userPublicId}', function ($user, $userPublicId) {
    return $user->public_id === $userPublicId && auth()->check(); // Ensure Public ID matches and user is authenticated
});

使用中間件確保事件時間戳是最近的：

Broadcast::channel('presence-channel.{roomId}', function ($user, $roomId) {
    return $user->isInRoom($roomId); // Validate room access
});

8?.安全后端 SSL 連接

即使您使用 Cloudflare 等服務(wù)作為代理來處理邊緣的 SSL，在服務(wù)器上的 VirtualHost 中配置 SSL 也很重要。這可確保端到端加密并降低潛在風(fēng)險。

實施：

1?。安裝Certbot并獲取證書：

namespace App\Jobs;

use Log;
use Illuminate\Bus\Queueable;
use Illuminate\Queue\Middleware\ThrottlesExceptions;
use Illuminate\Contracts\Queue\ShouldQueue;

class ProcessNotification implements ShouldQueue
{
    use Queueable;

    public function middleware()
    {
        // Throttle: Allow max 5 jobs per second for this queue
        return [new ThrottlesExceptions(5, 1)];
    }

    public function handle()
    {
        // Logic to process the notification
        Log::info('Processing notification');
    }
}

2?。更新您的虛擬主機(jī)以使用 SSL：

namespace App\Events;

use Illuminate\Broadcasting\InteractsWithSockets;
use Illuminate\Contracts\Broadcasting\ShouldBroadcast;
use Illuminate\Foundation\Events\Dispatchable;
use Illuminate\Support\Str;

class ChatMessageSent implements ShouldBroadcast
{
    use Dispatchable, InteractsWithSockets;

    public string $message;
    public string $uniqueId; // Prevent replay attacks
    public int $timestamp;

    public function __construct(string $message)
    {
        $this->message = $message;
        $this->uniqueId = Str::uuid();
        $this->timestamp = time();
    }

    public function broadcastWith()
    {
        return [
            'message' => $this->message,
            'uniqueId' => $this->uniqueId,
            'timestamp' => $this->timestamp,
        ];
    }

    public function broadcastOn()
    {
        return ['chat-room'];
    }
}

3?。在 Cloudflare 中啟用完整（嚴(yán)格）SSL 模式。

9?.所有通信均使用 HTTPS

為了確保 Reverb 與客戶端或服務(wù)器之間的安全通信，請使用 HTTPS。更新以下環(huán)境變量，特別關(guān)注設(shè)置 REVERB_SCHEME 和 REVERB_PORT 以確保使用 HTTPS 協(xié)議和安全端口 443：

const processedEvents = new Set();

Echo.channel('chat-room')
    .listen('ChatMessageSent', (event) => {
        if (!processedEvents.has(event.uniqueId)) {
            processedEvents.add(event.uniqueId);
            console.log('New message:', event.message);
        }
    });

以上是保護(hù) Laravel Reverb 的安全的詳細(xì)內(nèi)容。更多信息請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！