Authentication hoạt động như thế nào trong Laravel?

Question

Accepted Answer

Laravel cung cấp một hệ thống **authentication** đầy đủ, an toàn ngay từ đầu — xử lý login, đăng ký, băm password, session, và bảo vệ route. Nó cung cấp các starter kit sẵn dùng cho ứng dụng web và auth dựa trên token (Sanctum/Passport) cho API, nên bạn không tự xây dựng chức năng quan trọng về bảo mật này.

## Cơ bản (session, băm, các helper auth)

```php
use Illuminate\Support\Facades\Auth;

// thử login — xác minh thông tin đăng nhập, thiết lập một session
if (Auth::attempt(['email' => $email, 'password' => $password])) {
    // đã đăng nhập — Auth::user() giờ có sẵn ở mọi nơi
}
Auth::logout();
Auth::user();        // user đã xác thực (hoặc null)
Auth::check();        // có ai đó đã đăng nhập không?
Auth::id();           // id của user

// password được BĂM tự động (bcrypt) — không bao giờ plaintext
$user->password = Hash::make($plainPassword);
Hash::check($plain, $user->password);   // xác minh
```

Laravel xử lý **băm password an toàn** (bcrypt/argon2 — không bao giờ plaintext) và quản lý session tự động. `Auth::attempt` xác minh thông tin đăng nhập và đăng nhập user.

## Bảo vệ route

```php
Route::get('/dashboard', ...)->middleware('auth');   // yêu cầu login (middleware auth)

// trong Blade
@auth ... @endauth         // nội dung cho user đã đăng nhập
@guest ... @endguest       // nội dung cho khách
```

**Middleware `auth`** bảo vệ route (redirect/401 nếu chưa đăng nhập) — cách chuẩn để yêu cầu authentication.

## Starter kit và authentication cho API

```text
Starter kit (Breeze, Jetstream) → scaffold UI và logic login/đăng ký/reset password
  hoàn chỉnh ngay lập tức — đừng xây dựng màn hình auth bằng tay.

Authentication cho API:
  ✓ Sanctum → auth dựa trên token đơn giản cho SPA, app di động, API token đơn giản (phổ biến)
  ✓ Passport → server OAuth2 đầy đủ cho các kịch bản auth API phức tạp
```

Đối với API, **Sanctum** (auth token nhẹ) hoặc **Passport** (OAuth2 đầy đủ) cấp và xác minh token — bảo vệ các route API với middleware `auth:sanctum`.

## Tại sao điều này quan trọng

Authentication là thiết yếu và **quan trọng về bảo mật** — gần như mọi ứng dụng thực tế cần tài khoản người dùng và login, và authentication là một trong những thứ dễ sai, nguy hiểm nhất khi triển khai không đúng (password plaintext, băm yếu, lỗ hổng session dẫn đến vi phạm nghiêm trọng).

Hệ thống authentication tích hợp sẵn của Laravel là một lợi ích lớn vì nó xử lý điều này đúng cách và an toàn ngay từ đầu: **băm password an toàn** (bcrypt/argon2, không bao giờ plaintext — xử lý tự động), quản lý session, và các helper `Auth` tiện lợi cùng **middleware `auth`** để bảo vệ route.

Hiểu cách xác thực user, bảo vệ route, và truy cập user hiện tại là nền tảng để xây dựng các ứng dụng có tài khoản.

Quan trọng không kém là biết các công cụ hệ sinh thái: **starter kit** (Breeze, Jetstream) scaffold chức năng login/đăng ký/reset password hoàn chỉnh, an toàn ngay lập tức (nên bạn không xây dựng màn hình auth dễ sai bằng tay), và đối với API, **Sanctum** (auth token đơn giản cho SPA/di động) hoặc **Passport** (OAuth2 đầy đủ) cung cấp authentication dựa trên token an toàn.

Vì authentication vừa phổ biến vừa là nguồn thường gặp của các sai lầm bảo mật nguy hiểm khi tự viết, hiểu hệ thống auth mạnh mẽ, an toàn, batteries-included của Laravel — phần cơ bản, bảo vệ route, starter kit, và các tùy chọn auth API — là kiến thức quan trọng cho phép bạn xây dựng các ứng dụng hướng người dùng an toàn mà không phải phát minh lại (và mạo hiểm) chức năng then chốt này, một lợi thế chính của việc dùng một framework trưởng thành như Laravel.