Come funziona l'autenticazione in Laravel?

Question

Accepted Answer

Laravel fornisce un **sistema di autenticazione** completo e sicuro già pronto all'uso — gestendo login, registrazione, hashing delle password, sessioni e protezione delle route. Offre kit di avvio già pronti per app web e autenticazione basata su token (Sanctum/Passport) per API, quindi non devi costruire da zero questa funzionalità critica per la sicurezza.

## Le basi (sessioni, hashing, gli helper di autenticazione)

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

Laravel gestisce l'**hashing sicuro delle password** (bcrypt/argon2 — mai testo in chiaro) e la gestione delle sessioni automaticamente. `Auth::attempt` verifica le credenziali e accede l'utente.

## Proteggere le route

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

Il **middleware `auth`** protegge le route (reindirizzando/401 se non autenticato) — il modo standard per richiedere l'autenticazione.

## Kit di avvio e autenticazione API

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

Per le API, **Sanctum** (autenticazione con token leggera) o **Passport** (OAuth2 completo) emettono e verificano i token — proteggendo le route API con il middleware `auth:sanctum`.

## Perché è importante

L'autenticazione è essenziale e **critica per la sicurezza** — quasi tutte le applicazioni reali hanno bisogno di account utente e login, e l'autenticazione è una delle cose più soggette a errori e pericolose da implementare in modo errato (password in chiaro, hashing debole, vulnerabilità di sessione portano a violazioni gravi).

Il sistema di autenticazione integrato di Laravel è un grande vantaggio perché gestisce questo correttamente e in modo sicuro da subito: **hashing sicuro delle password** (bcrypt/argon2, mai testo in chiaro — gestito automaticamente), gestione delle sessioni, e gli helper `Auth` convenienti e il **middleware `auth`** per proteggere le route.

Capire come autenticare gli utenti, proteggere le route e accedere all'utente corrente è fondamentale per costruire applicazioni con account.

Equalmente importante è conoscere gli strumenti dell'ecosistema: **kit di avvio** (Breeze, Jetstream) scaffoldizzano funzionalità complete e sicure di login/registrazione/ripristino password istantaneamente (quindi non devi costruire schermate di autenticazione soggette a errori manualmente), e per le API, **Sanctum** (semplice autenticazione con token per SPA/mobile) o **Passport** (OAuth2 completo) forniscono autenticazione sicura basata su token.

Poiché l'autenticazione è sia ubiqua che una fonte frequente di errori di sicurezza pericolosi quando implementata da zero, comprendere il robusto, sicuro e completo sistema di autenticazione di Laravel — le basi, la protezione delle route, i kit di avvio e le opzioni di autenticazione API — è una conoscenza importante che ti permette di costruire applicazioni sicure rivolte agli utenti senza reinventare (e rischiare) questa funzionalità critica, un vantaggio chiave dell'utilizzo di un framework maturo come Laravel.