Kuinka tunnistautuminen toimii Laravelissa?

Question

Accepted Answer

Laravel tarjoaa täydellisen, turvallisen **tunnistautumisen** valmiina — käsittelee kirjautumisen, rekisteröinnin, salasanojen tiivistämisen, istunnot ja reititysten suojauksen. Se tarjoaa valmiita starttipaketeja web-sovelluksille ja token-pohjaisen tunnistautumisen (Sanctum/Passport) API:ille, joten sinun ei tarvitse rakentaa tätä turvallisuuskriteeristä toiminnallisuutta itse.

## Perusteet (istunnot, tiivistäminen, auth-apurit)

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

Laravel käsittelee **turvallisen salasanan tiivistämisen** (bcrypt/argon2 — ei koskaan selväkielistä) ja istunnonhallintaa automaattisesti. `Auth::attempt` tarkistaa tunnistetiedot ja kirjaa käyttäjän sisään.

## Reittien suojaaminen

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

**`auth`-middleware** suojaa reitit (uudelleenohjaus/401 jos ei kirjautunut) — vakiotapa vaatia tunnistautuminen.

## Starttipaketit ja API-tunnistautuminen

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

API:ille, **Sanctum** (kevyt token-pohjainen tunnistautuminen) tai **Passport** (täysi OAuth2) myöntävät ja varmistavat tokenit — suojaavat API-reitit `auth:sanctum`-middlewarella.

## Miksi se on tärkeää

Tunnistautuminen on olennainen ja **turvallisuuskriteeristä** — lähes jokainen todellinen sovellus tarvitsee käyttäjätilejä ja kirjautumista, ja tunnistautuminen on yksi virheille altteimmista ja vaarallisimmista asioista toteuttaa väärin (selväkieliset salasanat, heikko tiivistäminen, istuntojen haavoittuvuudet johtavat vakaviin rikkouksiin).

Laravelin sisäänrakennettu tunnistautuminen on suuri etu koska se käsittelee tämän oikein ja turvallisesti valmiina: **turvallinen salasanan tiivistäminen** (bcrypt/argon2, ei koskaan selväkielistä — käsitellään automaattisesti), istunnonhallinta ja mukavat `Auth`-apurit ja **`auth`-middleware** reittien suojaamiseen.

Ymmärtäminen kuinka tunnistaa käyttäjät, suojata reitit ja käyttää nykyistä käyttäjää on perustavaa laatua olevaa sovelluksissa joilla on käyttäjätilit.

Yhtä tärkeää on tuntea ekosysteemin työkalut: **starttipaketit** (Breeze, Jetstream) rakentavat täydellisen, turvallisen kirjautumis-/rekisteröinti-/salasanan-nollaustoiminnallisuuden välittömästi (joten sinun ei tarvitse rakentaa virheille alttiita autentikaatioruutuja käsin), ja API:ille, **Sanctum** (yksinkertainen token-pohjainen auth SPA:ille/mobiilille) tai **Passport** (täysi OAuth2) tarjoavat turvallisen token-pohjaisen tunnistautumisen.

Koska tunnistautuminen on sekä kaikkialla esiintyvä että usein vaarallisten turvallisuusvirheiden lähde kun se rakentaa käsin, ymmärtäminen Laravelin robustista, turvallisesta, sisäänrakennetuista ominaisuuksista täynnä olevasta tunnistautumisesta — perusteet, reititysten suojaus, starttipaketit ja API-tunnistautumisen vaihtoehdot — on tärkeää tietoa jonka avulla voit rakentaa turvallisia käyttäjälle näkyviä sovelluksia ilman että tarvitsee keksiä uudelleen (ja vaarantaa) tätä kriittistä toiminnallisuutta, keskeinen etu käytettäessä kypsää kehystä kuten Laravel.