Laravel'de kimlik doğrulama nasıl çalışır?

Question

Accepted Answer

Laravel, kutudan çıktığı haliyle eksiksiz, güvenli bir **kimlik doğrulama sistemi** sağlar — giriş, kayıt, şifre hashleme, oturum yönetimi ve rota koruması işlerini yürütür. Web uygulamaları için hazır başlangıç kitleri ve API'lar için token tabanlı auth (Sanctum/Passport) sunar, bu nedenle bu güvenlik açısından kritik işlevselliği kendiniz oluşturmanız gerekmez.

## Temel bilgiler (oturumlar, hashleme, auth yardımcıları)

```php
use Illuminate\Support\Facades\Auth;

// attempt login — verifies credentials, establishes a session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // logged in — Auth::user() now available everywhere
}
Auth::logout();
Auth::user();        // the authenticated user (or null)
Auth::check();        // is someone logged in?
Auth::id();           // the user's id

// passwords are HASHED automatically (bcrypt) — never plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // verify
```

Laravel **güvenli şifre hashleme** işini otomatik olarak yürütür (bcrypt/argon2 — hiçbir zaman düz metin değil) ve oturum yönetimini sağlar. `Auth::attempt` kimlik bilgilerini doğrular ve kullanıcıyı sistemde oturum açar.

## Rotaları koruma

```php
Route::get('/dashboard', ...)->middleware('auth');   // require login (the auth middleware)

// in Blade
@auth ... @endauth         // content for logged-in users
@guest ... @endguest       // content for visitors
```

**`auth` middleware** rotaları korur (oturum açmadıysa yeniden yönlendirme/401) — kimlik doğrulama gerektirmenin standart yoludur.

## Başlangıç kitleri ve API kimlik doğrulaması

```text
Starter kits (Breeze, Jetstream) → scaffold complete login/registration/password-reset
  UI and logic instantly — don't build auth screens by hand.

API authentication:
  ✓ Sanctum → simple token-based auth for SPAs, mobile apps, simple API tokens (common)
  ✓ Passport → full OAuth2 server for complex API auth scenarios
```

API'lar için **Sanctum** (hafif token auth) veya **Passport** (tam OAuth2) token yayınlar ve doğrular — API rotalarını `auth:sanctum` middleware ile korur.

## Neden önemli

Kimlik doğrulama gerekli ve **güvenlik açısından kritiktir** — hemen hemen her gerçek uygulama kullanıcı hesapları ve girişe ihtiyaç duyar, ve kimlik doğrulama hatalı uygulanması en tehlikeli şeylerden biridir (düz metin şifreler, zayıf hashleme, oturum güvenlik açıkları ciddi ihlallere yol açar).

Laravel'in yerleşik kimlik doğrulama sistemi büyük bir yarar sağlar çünkü bunu doğru ve güvenli bir şekilde kutudan çıktığı haliyle yönetir: **güvenli şifre hashleme** (bcrypt/argon2, asla düz metin değil — otomatik olarak yönetilir), oturum yönetimi ve uygun `Auth` yardımcıları ile **`auth` middleware** rotaları korumak için.

Kullanıcıları kimlik doğrulaması, rotaları koruma ve mevcut kullanıcıya erişme yolunu anlamak, hesaplı uygulamalar oluşturmak için temeldir.

Eşit derecede önemli olan şey, ekosistem araçlarını bilmektir: **başlangıç kitleri** (Breeze, Jetstream) anında eksiksiz, güvenli giriş/kayıt/şifre sıfırlama işlevselliğini hazırlar (böylece hata yapması kolay auth ekranlarını elle oluşturmazsınız), ve API'lar için **Sanctum** (SPA'lar/mobil için basit token auth) veya **Passport** (tam OAuth2) güvenli token tabanlı kimlik doğrulama sağlar.

Kimlik doğrulama hem yaygın hem de elle oluşturulduğunda tehlikeli güvenlik hatalarının sık kaynağı olduğundan, Laravel'in güçlü, güvenli, batteries-included auth sistemini — temel bilgiler, rota koruması, başlangıç kitleri ve API auth seçenekleri — anlamak, bu kritik işlevselliği yeniden icat etmeden (ve riske atmadan) güvenli kullanıcı yüzlü uygulamalar oluşturmanızı sağlayan önemli bilgidir; bu, Laravel gibi olgun bir framework kullanmanın önemli bir avantajıdır.