Jak działa uwierzytelnianie w Laravel?

Question

Accepted Answer

Laravel zapewnia kompletny, bezpieczny **system uwierzytelniania** z pudełka — obsługując logowanie, rejestrację, haszowanie haseł, sesje i ochronę tras. Oferuje gotowe pakiety startowe dla aplikacji webowych i uwierzytelnianie oparte na tokenach (Sanctum/Passport) dla API, więc nie budujesz tej krytycznej funkcjonalności bezpieczeństwa sam.

## Podstawy (sesje, haszowanie, helpery auth)

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

Laravel obsługuje **bezpieczne haszowanie haseł** (bcrypt/argon2 — nigdy w tekście zwykłym) i zarządzanie sesją automatycznie. `Auth::attempt` weryfikuje poświadczenia i loguje użytkownika.

## Ochrona tras

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

**Middleware `auth`** chroni trasy (przekierowując/401 jeśli nie zalogowany) — standardowy sposób wymagania uwierzytelniania.

## Pakiety startowe i uwierzytelnianie API

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

Dla API, **Sanctum** (lekkie uwierzytelnianie tokenem) lub **Passport** (pełny OAuth2) wydają i weryfikują tokeny — chroniąc trasy API za pomocą middleware `auth:sanctum`.

## Dlaczego to ważne

Uwierzytelnianie jest niezbędne i **krytyczne dla bezpieczeństwa** — prawie każda rzeczywista aplikacja potrzebuje kont użytkowników i logowania, a uwierzytelnianie jest jedną z najbardziej podatnych na błędy, niebezpiecznych rzeczy do zaimplementowania nieprawidłowo (hasła w tekście zwykłym, słabe haszowanie, luki w sesji prowadzą do poważnych naruszeń).

Wbudowany system uwierzytelniania Laravel jest dużą zaletą, ponieważ obsługuje to poprawnie i bezpiecznie z pudełka: **bezpieczne haszowanie haseł** (bcrypt/argon2, nigdy w tekście zwykłym — obsługiwane automatycznie), zarządzanie sesją i wygodne helpery `Auth` oraz **middleware `auth`** do ochrony tras.

Rozumienie sposobu uwierzytelniania użytkowników, ochrony tras i dostępu do bieżącego użytkownika jest fundamentalne dla budowania aplikacji z kontami.

Równie ważne jest znanie narzędzi ekosystemu: **pakiety startowe** (Breeze, Jetstream) natychmiast tworzą szkielet kompletnej, bezpiecznej funkcjonalności logowania/rejestracji/resetowania hasła (więc nie budujesz podatnych na błędy ekranów auth ręcznie), a dla API, **Sanctum** (proste uwierzytelnianie tokenem dla SPA/mobile) lub **Passport** (pełny OAuth2) zapewniają bezpieczne uwierzytelnianie oparte na tokenach.

Ponieważ uwierzytelnianie jest zarówno wszechobecne, jak i częstym źródłem niebezpiecznych błędów bezpieczeństwa przy ręcznym wdrażaniu, zrozumienie solidnego, bezpiecznego, pełnego wyposażenia systemu auth Laravel — podstaw, ochrony tras, pakietów startowych i opcji auth API — jest ważną wiedzą, która pozwala budować bezpieczne aplikacje skierowane do użytkownika bez reinwencji (i ryzyka) tej krytycznej funkcjonalności, kluczowej zalety używania dojrzałej struktury takiej jak Laravel.