Come funziona l'autenticazione in Laravel?

Question

IT Interview Practice · Accepted Answer

Laravel fornisce un **sistema di autenticazione** completo e sicuro già pronto all'uso — gestendo login, registrazione, hashing delle password, sessioni e protezione delle route. Offre kit di avvio già pronti per app web e autenticazione basata su token (Sanctum/Passport) per API, quindi non devi costruire da zero questa funzionalità critica per la sicurezza.

## Le basi (sessioni, hashing, gli helper di autenticazione)

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

Laravel gestisce l'**hashing sicuro delle password** (bcrypt/argon2 — mai testo in chiaro) e la gestione delle sessioni automaticamente. `Auth::attempt` verifica le credenziali e accede l'utente.

## Proteggere le route

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

Il **middleware `auth`** protegge le route (reindirizzando/401 se non autenticato) — il modo standard per richiedere l'autenticazione.

## Kit di avvio e autenticazione API

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

Per le API, **Sanctum** (autenticazione con token leggera) o **Passport** (OAuth2 completo) emettono e verificano i token — proteggendo le route API con il middleware `auth:sanctum`.

## Perché è importante

L'autenticazione è essenziale e **critica per la sicurezza** — quasi tutte le applicazioni reali hanno bisogno di account utente e login, e l'autenticazione è una delle cose più soggette a errori e pericolose da implementare in modo errato (password in chiaro, hashing debole, vulnerabilità di sessione portano a violazioni gravi).

Il sistema di autenticazione integrato di Laravel è un grande vantaggio perché gestisce questo correttamente e in modo sicuro da subito: **hashing sicuro delle password** (bcrypt/argon2, mai testo in chiaro — gestito automaticamente), gestione delle sessioni, e gli helper `Auth` convenienti e il **middleware `auth`** per proteggere le route.

Capire come autenticare gli utenti, proteggere le route e accedere all'utente corrente è fondamentale per costruire applicazioni con account.

Equalmente importante è conoscere gli strumenti dell'ecosistema: **kit di avvio** (Breeze, Jetstream) scaffoldizzano funzionalità complete e sicure di login/registrazione/ripristino password istantaneamente (quindi non devi costruire schermate di autenticazione soggette a errori manualmente), e per le API, **Sanctum** (semplice autenticazione con token per SPA/mobile) o **Passport** (OAuth2 completo) forniscono autenticazione sicura basata su token.

Poiché l'autenticazione è sia ubiqua che una fonte frequente di errori di sicurezza pericolosi quando implementata da zero, comprendere il robusto, sicuro e completo sistema di autenticazione di Laravel — le basi, la protezione delle route, i kit di avvio e le opzioni di autenticazione API — è una conoscenza importante che ti permette di costruire applicazioni sicure rivolte agli utenti senza reinventare (e rischiare) questa funzionalità critica, un vantaggio chiave dell'utilizzo di un framework maturo come Laravel.

Le basi (sessioni, hashing, gli helper di autenticazione)

Proteggere le route

Kit di avvio e autenticazione API

Perché è importante

Domande correlate