Hoe werkt authenticatie in Laravel?

Question

Accepted Answer

Laravel biedt een complete, veilige **authenticatiesysteem** uit de doos — met login, registratie, wachtwoordhashing, sessies en routebescherming. Het biedt kant-en-klare starterkits voor webapps en token-gebaseerde auth (Sanctum/Passport) voor API's, zodat je deze beveiligingskritieke functionaliteit niet zelf hoeft te bouwen.

## De basis (sessies, hashing, de auth-helpers)

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

Laravel verwerkt **veilige wachtwoordhashing** (bcrypt/argon2 — nooit platte tekst) en sessiebeheer automatisch. `Auth::attempt` verifieert de inloggegevens en meldt de gebruiker aan.

## Routes beschermen

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

De **`auth`-middleware** beschermt routes (omleiden/401 als niet ingelogd) — de standaardmanier om authenticatie af te dwingen.

## Starterkits en API-authenticatie

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

Voor API's geven **Sanctum** (lichte tokenauth) of **Passport** (volledige OAuth2) tokens uit en verifiëren ze — waarbij API-routes met `auth:sanctum`-middleware worden beschermd.

## Waarom het belangrijk is

Authenticatie is essentieel en **beveiligingskritiek** — bijna elke echte applicatie heeft gebruikersaccounts en login nodig, en authenticatie is een van de meest foutgevoelige, gevaarlijke dingen om incorrect uit te voeren (wachtwoorden in platte tekst, zwakke hashing, sessiekwetsbaarheden leiden tot ernstige inbreuken).

Het ingebouwde authenticatiesysteem van Laravel is een groot voordeel omdat het dit correct en veilig afhandelt: **veilige wachtwoordhashing** (bcrypt/argon2, nooit platte tekst — automatisch verwerkt), sessiebeheer, en de handige `Auth`-helpers en **`auth`-middleware** voor routebescherming.

Begrijpen hoe je gebruikers verifieert, routes beschermt en de huidige gebruiker benadert is fundamenteel voor het bouwen van applicaties met accounts.

Evenals belangrijk is kennis van de ecosysteemtools: **starterkits** (Breeze, Jetstream) stellen volledige, veilige login/registratie/wachtwoord-reset-functionaliteit onmiddellijk in (zodat je geen foutgevoelige auth-schermen handmatig hoeft te bouwen), en voor API's bieden **Sanctum** (eenvoudige tokenauth voor SPA's/mobiel) of **Passport** (volledige OAuth2) veilige token-gebaseerde authenticatie.

Omdat authenticatie zowel alomtegenwoordig als een frequente bron van gevaarlijke beveiligingsfouten is bij zelf gebouwde systemen, is het begrijpen van het robuuste, veilige, batterijen-inbegrepen authenticatiesysteem van Laravel — de basis, routebescherming, starterkits en API-auth-opties — belangrijke kennis die je in staat stelt veilige applicaties met gebruikers te bouwen zonder deze kritieke functionaliteit opnieuw uit te vinden (en in gevaar te brengen), een belangrijk voordeel van het gebruik van een volwassen framework als Laravel.