Laravel Security Audit

Laravel Security Audit

Allgemeine Security-Regeln → CLAUDE.md Kapitel 1 + 2. Dieser Skill fokussiert auf Audit-Methodik.

Severity Framework

| Level | Bedeutung | Zeitrahmen | |---|---|---| | KRITISCH | Muss vor Go-Live behoben sein | Sofort | | HOCH | Ernstes Risiko | Innerhalb 1 Woche | | MITTEL | Verbesserungspotenzial | Nächster Sprint | | NIEDRIG | Best Practice | Backlog |

Workflow

1. Automatisiert: composer audit + npm audit für Dependency-Checks
2. Manuell: Checkliste unten durchgehen
3. Report: Priorisierte Findings mit konkreten Fixes

Checkliste

KRITISCH

Auth & Authorization:

• Alle sensiblen Routes durch Middleware geschützt? (auth, verified, can:)
• Rate-Limiting auf Login? (throttle Middleware)
• Password-Hashing: bcrypt/argon2 (nie MD5/SHA1)
• Policies für Authorization (nicht Gate::check im Blade)

Injection:

• Kein rohes SQL – immer Query Builder / Eloquent
• Blade {{ }} überall (kein {!! !!} ohne Grund)
• Keine gefährlichen PHP-Funktionen mit User-Input

Environment:

• APP_DEBUG=false in Production
• APP_ENV=production
• .env nicht in Git, nicht im Webroot
• Keine Secrets in Code hardcodiert

HOCH

Mass Assignment: $fillable oder $guarded auf allen Models CSRF: @csrf in allen Formularen File Uploads: Typ-Validierung, Größenlimit, nicht in /public direkt Session: secure, httponly, samesite=lax in config/session.php API: Sanctum/Passport für Auth, Rate-Limiting auf allen Endpoints Headers: X-Frame-Options, X-Content-Type-Options, Strict-Transport-Security

MITTEL

Dependencies: composer audit + npm audit – kritische sofort, Rest im nächsten Release Logging: Keine Passwörter/IBAN/Keys loggen, IPs anonymisieren Error Handling: Keine Stack-Traces in Production

DSGVO-spezifisch

Lösch-Routine (Anonymisierung statt hartem Löschen):

$user->update([
    'name' => 'Gelöschter Nutzer',
    'email' => "deleted_{$user->id}@example.com",
    'phone' => null,
]);

IP-Anonymisierung in Logs:

$anonymizedIp = preg_replace('/\d+$/', 'x', $request->ip());

Prüfpunkte:

• Keine externen Ressourcen ohne Consent (Fonts, Analytics, CDN)
• Cookie-Consent vor Tracking-Code
• Datenschutzerklärung mit allen genutzten Diensten

Report-Format

# Security Audit – {Projekt} ({Datum})

## Zusammenfassung
{X} Kritisch, {Y} Hoch, {Z} Mittel

## Findings
| # | Severity | Kategorie | Finding | Datei | Empfehlung |
|---|----------|-----------|---------|-------|------------|
| 1 | KRITISCH | Auth | Routes ohne Middleware | routes/web.php | auth Middleware |

Source & license

This open-source skill is cataloged on AgentStack and links to its original source — we do not rehost the code.

• Author: stoffl6781
• Source: stoffl6781/claude-skill
• License: MIT

Install and usage instructions live in the source repository linked above.