Como funciona a autenticação em Laravel?

Question

Accepted Answer

O Laravel fornece um sistema de **autenticação** completo e seguro pronto para usar — tratando login, registro, hash de senhas, sessões e proteção de rotas. Ele oferece kits iniciais prontos para aplicações web e autenticação baseada em tokens (Sanctum/Passport) para APIs, para que você não construa essa funcionalidade crítica de segurança você mesmo.

## O básico (sessões, hash, os helpers de auth)

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

O Laravel trata automaticamente o **hash de senhas seguro** (bcrypt/argon2 — nunca texto plano) e gerenciamento de sessões. `Auth::attempt` verifica as credenciais e faz login do usuário.

## Protegendo rotas

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

O **middleware `auth`** protege rotas (redirecionando/401 se não autenticado) — a forma padrão de exigir autenticação.

## Kits iniciais e autenticação de API

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

Para APIs, **Sanctum** (autenticação de token leve) ou **Passport** (OAuth2 completo) emitem e verificam tokens — protegendo rotas de API com o middleware `auth:sanctum`.

## Por que isso importa

Autenticação é essencial e **crítica para a segurança** — quase toda aplicação real precisa de contas de usuários e login, e autenticação é uma das coisas mais propensas a erros e perigosas de implementar incorretamente (senhas em texto plano, hash fraco, vulnerabilidades de sessão levam a brechas sérias).

O sistema de autenticação integrado do Laravel é um grande benefício porque trata isso corretamente e de forma segura pronto para usar: **hash de senhas seguro** (bcrypt/argon2, nunca texto plano — tratado automaticamente), gerenciamento de sessões, e os helpers `Auth` convenientes e o **middleware `auth`** para proteger rotas.

Entender como autenticar usuários, proteger rotas e acessar o usuário atual é fundamental para construir aplicações com contas.

Igualmente importante é conhecer as ferramentas do ecossistema: **kits iniciais** (Breeze, Jetstream) estruturam funcionalidade completa e segura de login/registro/reset de senha instantaneamente (para que você não construa telas de auth propensas a erros manualmente), e para APIs, **Sanctum** (autenticação de token simples para SPAs/mobile) ou **Passport** (OAuth2 completo) fornecem autenticação segura baseada em tokens.

Como autenticação é tanto ubíqua quanto uma fonte frequente de erros perigosos de segurança quando construída manualmente, entender o robusto, seguro e completo sistema de auth do Laravel — o básico, proteção de rotas, kits iniciais e opções de auth de API — é conhecimento importante que permite você construir aplicações seguras voltadas para o usuário sem reinventar (e arriscar) essa funcionalidade crítica, uma vantagem chave de usar um framework maduro como Laravel.