Laravel生产环境的安全加固需要从框架配置、服务器权限、数据防护等多个层面入手，全面排查潜在的安全风险，避免应用遭受恶意攻击。
关闭调试模式
生产环境必须关闭调试模式，避免敏感信息泄露。打开项目根目录的.env文件，修改以下配置：
APP_DEBUG=false APP_ENV=production
同时确认config/app.php中的debug配置已经同步为false，防止异常信息暴露数据库配置、路由信息等敏感内容。
配置安全的密钥与加密
首先确保应用密钥已经正确生成，执行以下命令生成密钥：
php artisan key:generate
密钥会写入.env文件的APP_KEY字段，不要将该文件提交到公开代码仓库。另外，生产环境建议使用更安全的加密算法，在config/app.php中调整cipher配置：
'cipher' => 'AES-256-CBC',
限制文件与目录权限
Laravel项目的目录权限需要严格控制，避免不必要的写入权限导致恶意文件上传。推荐权限配置如下：
- 项目根目录权限设置为755
storage和bootstrap/cache目录设置为755，所有者设置为运行PHP的用户- 所有文件权限不超过644，禁止设置777权限
可以通过如下命令批量调整权限：
find /path/to/your/project -type f -exec chmod 644 {} ;
find /path/to/your/project -type d -exec chmod 755 {} ;
chmod -R 755 /path/to/your/project/storage
chmod -R 755 /path/to/your/project/bootstrap/cache
防护常见Web攻击
CSRF防护
Laravel默认开启了CSRF防护，所有非GET请求都需要携带CSRF令牌。确认app/Http/Middleware/VerifyCsrfToken.php中间件没有被全局移除，同时对于不需要CSRF防护的接口，仅将对应路由添加到$except数组中：
protected $except = [
// 仅添加确实需要排除的路由，不要随意添加通配符
// 'api/external/callback',
];
XSS防护
Blade模板默认会对输出内容进行转义，不要随意使用{!! $content !!}语法输出用户输入的内容。如果确实需要输出富文本，建议使用专门的XSS过滤库处理后再输出。
SQL注入防护
尽量使用Laravel的查询构造器和Eloquent ORM，避免直接拼接SQL语句。如果需要执行原生SQL，使用参数绑定方式：
// 错误示例，存在SQL注入风险
$sql = "SELECT * FROM users WHERE name = '" . $inputName . "'";
// 正确示例，使用参数绑定
$users = DB::select('SELECT * FROM users WHERE name = ?', [$inputName]);
配置安全的Session与Cookie
生产环境建议将Session驱动设置为更稳定的类型，比如redis或者database，避免使用file驱动在高并发下出现问题。同时调整Cookie安全配置，在config/session.php中修改：
'secure' => env('SESSION_SECURE_COOKIE', true), // 仅HTTPS下传输Cookie
'http_only' => true, // 禁止JS读取Cookie
'same_site' => 'lax', // 防止CSRF的Cookie跨站携带
限制访问与隐藏敏感信息
首先确保public目录是Web服务器的根目录，不要将项目根目录直接暴露。同时可以在public目录下添加.htaccess（Apache）或者Nginx配置，禁止访问敏感文件：
<FilesMatch ".(env|log|json|lock)$">
Order allow,deny
Deny from all
</FilesMatch>
如果使用Nginx，可以添加如下配置：
location ~ /.(env|log|json|lock)$ {
deny all;
}
定期更新依赖与备份
定期执行composer update更新Laravel框架和第三方依赖，修复已知的安全漏洞。同时配置定期数据备份策略，将数据库和关键文件备份到安全的存储位置，避免数据丢失。