Kako deluje avtentikacija v Laravelu?

Question

Accepted Answer

Laravel ponuja popoln, varen **sistem avtentikacije** že vgrajen — upravlja prijavo, registracijo, heširanja gesel, seje in zaščito poti. Ponuja pripravljene začetne kite za spletne aplikacije in avtentikacijo na osnovi žetonov (Sanctum/Passport) za API-je, zato te varnostno kritične funkcionalnosti ne gradite sami.

## Osnove (seje, heširanje, pomočniki avtentikacije)

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

Laravel samodejno upravlja s **varnim heširanje gesel** (bcrypt/argon2 — nikoli v navadnem besedilu) in upravljanjem sej. `Auth::attempt` preverja poverilnice in prijavi uporabnika.

## Zaščita poti

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

**`auth` vmesnik** varuje poti (preusmerja/401 če uporabnik ni prijavljen) — standardni način za zahtevo avtentikacije.

## Začetni kiti in avtentikacija API-ja

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

Za API-je **Sanctum** (lahka avtentikacija na osnovi žetonov) ali **Passport** (polna OAuth2) izdajata in preverjata žetone — varujo poti API-ja s `auth:sanctum` vmesnikom.

## Zakaj je to pomembno

Avtentikacija je nujnost in **varnostno kritična** — prav vsaka resnična aplikacija potrebuje uporabniške račune in prijavo, avtentikacija pa je ena izmed najbolj napačno izvedenih in nevarnih stvari (gesla v navadnem besedilu, šibko heširanje, ranljivosti sej vodijo do resnih kršitev.

Vgrajeni avtentikacijski sistem Laravela je velika prednost, ker to pravilno in varno upravi že vgrajen: **varno heširanje gesel** (bcrypt/argon2, nikoli v navadnem besedilu — avtomatično upravljano), upravljanje sej in priročni `Auth` pomočniki ter **`auth` vmesnik** za zaščito poti.

Razumevanje avtentikacije uporabnikov, zaščite poti in dostopa do trenutnega uporabnika je temeljno za gradnjo aplikacij s računi.

Enako pomembno je poznavanje ekosistemskih orodij: **začetni kiti** (Breeze, Jetstream) trenutno ustvarijo kompletno, varno funkcionalnost prijave/registracije/ponastavitve gesla (zato ne gradite napačnih zaslonov avtentikacije ročno), za API-je pa **Sanctum** (preprosta avtentikacija na osnovi žetonov za SPA-je/mobilne aplikacije) ali **Passport** (polna OAuth2) zagotavljata varno avtentikacijo na osnovi žetonov.

Ker je avtentikacija hkrati vseprisotna in pogost vir nevarnih varnostnih napak pri ročni implementaciji, je razumevanje robusten, varen, že vgrajen avtentikacijski sistem Laravela — osnove, zaščita poti, začetni kiti in možnosti avtentikacije API-ja — pomembno znanje, ki vam omogoči gradnjo varnih aplikacij usmerjenih na uporabnike brez ponovnega izmišljanja (in tveganja) te kritične funkcionalnosti, kar je ključna prednost uporabe zrelega ogrodja, kot je Laravel.