في هذا الدرس 6تصفّح المواضيع
يمكنك فرض سياسات النماذج إما في مطلع دالة المتحكم عبر Gate::authorize أو مباشرة داخل دالة authorize في كلاس طلب التحقق FormRequest. يضمن فحص الصلاحية داخل FormRequest رفض الطلبات غير المصرحة برمز 403 مبكراً قبل البدء بفحص قواعد التحقق من المدخلات.
- الإلزام داخل المتحكم (Gate::authorize): فحص صريح وواضح في أول سطر من دالة المتحكم.
- الإلزام في طلب التحقق (FormRequest::authorize): يجمع فحص الصلاحية والتحقق من الحقول في كلاس واحد.
- جلب نموذج المسار ($this->route): يصل إلى كائن النموذج المحقون بالمسار لفحص ملكيته داخل الطلب.
// Inside UpdatePostRequest extends FormRequest:
public function authorize(): bool
{
$post = $this->route('post');
return $this->user()->can('update', $post);
}لتقديم واجهة مستخدم نظيفة لا تظهر فيها أزرار التعديل والحذف إلا لمن يملك صلاحية تنفيذها فعلياً، استخدم توجيهات @can و @cannot و @canany داخل قوالب Blade. وكما هو الحال في المتحكمات، مرر كائن السجل لفحص التعديل أو اسم الكلاس لفحص زر الإضافة.
- إظهار المشروط بالصلاحية (@can): يعرض زر التعديل فقط إذا سمحت سياسة النموذج للمستخدم الحالي.
- العرض عند عدم الصلاحية (@cannot): يعرض تنويهاً أو نصاً للقراءة فقط لمن لا يملكون صلاحية التعديل.
- توفر أي صلاحية (@canany): يعرض قائمة الإجراءات إذا كان المستخدم يملك واحدة على الأقل من الصلاحيات المذكورة.
@can('create', App\Models\Post::class)
<a href="{{ route('posts.create') }}">New Post</a>
@endcan
@can('update', $post)
<a href="{{ route('posts.edit', $post) }}">Edit</a>
@endcanتُعد ثغرات الوصول المباشر غير الآمن للكائنات IDOR والإسناد الجماعي Mass Assignment من أشهر ثغرات تطبيقات الويب. في Laravel 12، تقضي على ثغرة IDOR بفرض فحص Policy أو تقييد الاستعلام بالعلاقة في كل مسار، وتقضي على الإسناد الجماعي بتمرير البيانات المتحقق منها فقط عبر $request->validated مع تحديد مصفوفة $fillable.
- منع IDOR بالسياسات (Policy Enforcement): افحص دائماً ملكية السجل عبر Gate::authorize قبل أي تعديل أو حذف.
- تقييد الاستعلام بالملكية (Scoped Relation): استعلم من خلال علاقة المستخدم الحالي مثل $request->user->posts.
- تمرير المدخلات الموثقة فقط (validated Only): لا تمرر أبداً $request->all لدوال الحفظ، بل استخدم $request->validated حصرياً.
public function update(UpdatePostRequest $request, Post $post)
{
Gate::authorize('update', $post);
$post->update($request->validated());
return back();}يأتي إطار Laravel مزوداً بطبقات حماية مدمجة قوية ضد أشهر ثغرات الويب العالمية OWASP شريطة الالتزام بالقواعد القياسية للإطار. اطبع المتغيرات دائماً بعلامة الهروب {{ }}، وأدرج @csrf في النماذج، واستخدم ربط المعاملات في الاستعلامات، وفعل محدد السرعة throttle، واضبط APP_DEBUG=false في الإنتاج.
- الحماية من XSS و CSRF (Escaping & Tokens): التزم بالطباعة المحمية {{ }} في القوالب وتوجيه @csrf في جميع النماذج.
- الحماية من حقن SQL (Parameter Binding): اعتمد على Eloquent و Query Builder ولا تدمج مدخلات المستخدم النصية في SQL خام.
- أمان بيئة الإنتاج (APP_DEBUG=false): أغلق وضع التصحيح في الخادم الحي لمنع ظهور مسارات الملفات ومفاتيح البيئة.
// Safe parameterized query (immune to SQLi):
$users = User::where('email', $request->input('email'))->get()
// Safe XSS-escaped Blade output:
<p>{{ $user->bio }}</p>ملخص الدرس
حصاد الدرسمراجعة مركّزة لأهم المفاهيم والقواعد الهندسية التي أتقنتها في هذا الدرس قبل التطبيق العملي
ماذا تعلّمت في هذا الدرس؟
أتقنت في هذا الدرس حول «تطبيق الصلاحيات بتوجيهات Can وتحصين أمان تطبيقات Laravel» مفاهيم تفويض الصلاحيات بالمتحكم وطلب التحقق، وتفويض المسارات عبر وسيط Can، وتوجيهات الصلاحيات Can في Blade وفق معايير Laravel 12 الحديثة.
الخطوة التالية والدرس القادم
انتقل الآن إلى الدرس التالي «بناء مسارات RESTful API ومتحكمات JSON في Laravel» للبناء التراكمي على ما تعلمته.
سجّل الدخول لحفظ تقدمك
تابع إنجاز المواضيع والمصطلحات والمهام، وكمّل من آخر خطوة على أي جهاز.
المصطلحات4
راجع المعنى، اشرحه لنفسك، ثم علّم البطاقة كمفهومة.
- 01 Can Directives توجيهات الصلاحيات
- فحص الصلاحيات في المسارات والمتحكمات وقوالب Blade عبر @can و @cannot وتطبيق قواعد التحصين الأمني الشامل في Laravel.
- للمراجعة
- 02 Authorizing Controllers and Requests تفويض الصلاحيات بالمتحكم وطلب التحقق
- المفهوم الهندسي والتطبيق العملي المباشر لقسم تفويض الصلاحيات بالمتحكم وطلب التحقق في إطار العمل Laravel 12.
- للمراجعة
- 03 Route Level Authorization Middleware تفويض المسارات عبر وسيط Can
- المفهوم الهندسي والتطبيق العملي المباشر لقسم تفويض المسارات عبر وسيط Can في إطار العمل Laravel 12.
- للمراجعة
- 04 Blade Can and Cannot Directives توجيهات الصلاحيات Can في Blade
- المفهوم الهندسي والتطبيق العملي المباشر لقسم توجيهات الصلاحيات Can في Blade في إطار العمل Laravel 12.
- للمراجعة
لا توجد بطاقات تطابق البحث والتصفية.
اقرأ البطاقات بحرية. سجّل الدخول لحفظ تقدم مراجعتك.
الاختصارات4
راجع المعنى، اشرحه لنفسك، ثم علّم البطاقة كمفهومة.
- 01 MVC MVC
- Model View Controller
- النمط المعماري الذي يفصل بين نماذج البيانات Models، وطبقات العرض Views، والمتحكمات Controllers في Laravel.
- للمراجعة
- 02 CLI CLI
- Command Line Interface
- واجهة سطر الأوامر التي تعمل عبر أداة php artisan لتوليد الملفات وإدارة التطبيق.
- للمراجعة
- 03 HTTP HTTP
- Hypertext Transfer Protocol
- بروتوكول نقل النص الفائق الذي ينظم طلبات المتصفح واستجابات خادم Laravel.
- للمراجعة
- 04 PSR PSR
- PHP Standards Recommendations
- المعايير القياسية للغة PHP مثل التحميل التلقائي PSR-4 التي يلتزم بها إطار العمل Laravel.
- للمراجعة
لا توجد بطاقات تطابق البحث والتصفية.
اقرأ البطاقات بحرية. سجّل الدخول لحفظ تقدم مراجعتك.
مهامك قبل الاختبار
خطوة صغيرة كل مرة. وإنجاز تقدر ترجع له.
-
اكتب ونفّذ المثال البرمجي المشروح في قسم «تفويض الصلاحيات بالمتحكم وطلب التحقق» داخل مشروع Laravel 12 المحلي وتحقق من النتيجة.
-
بدّل بين الحالات الثلاث في المحاكي التفاعلي ضمن قسم «تفويض المسارات عبر وسيط Can» وقارن مخرجات التنفيذ.
تأشير المهمة إقرار منك بإتمامها، وليس تصحيحًا آليًا للكود. يُحفظ تقدمك في حسابك.
اختبر فهمك.
ووصلها للإتقان.
كل سؤال خطوة لقدّام. اختار، اكتب كود، وشوف نتيجتك فورًا.
أكمل المهام، واجمع كل الإجابات الصحيحة. أقل من 100%؟ راجع وأعد المحاولة.
الأسئلة متاحة للاطلاع. سجّل الدخول للتفاعل وحفظ تقدمك.
لمحة عن التحدي8 أسئلة تنتظرك ＋
ما الهدف الهندسي الأساسي من تفويض الصلاحيات بالمتحكم وطلب التحقق في إطار العمل Laravel 12؟
يسهم تفويض الصلاحيات بالمتحكم وطلب التحقق في تنظيم منطق التطبيق بأسلوب معياري آمن وقابل للصيانة في Laravel 12.
يساعد الالتزام باصطلاحات Laravel 12 الرسمية في قسم «تفويض المسارات عبر وسيط Can» على رفع جودة الكود وسهولة اختباره آلياً.
صواب؛ الالتزام بالمعايير القياسية في Laravel 12 يجعل الكود واضحاً وسهل الفحص والصيانة.
أي آلية في Laravel 12 تتولى إدارة توجيهات الصلاحيات Can في Blade بشكل مباشر ومنظم؟
توفر طبقة إطار العمل وحاوية الخدمات في Laravel 12 الأدوات القياسية لإدارة توجيهات الصلاحيات Can في Blade.
لماذا يُعد تطبيق منع ثغرات IDOR والإسناد الجماعي مهماً عند بناء تطبيقات Laravel 12 جاهزة للإنتاج؟
لأنه يمنع الأخطاء البرمجية الخفية ويوحد سلوك التطبيق بين بيئتي التطوير والإنتاج.
في Laravel 12، يُنصح بكتابة مفاتيح الإنتاج السرية مباشرة داخل ملفات الكود المصدري المرفوعة إلى Git بدلاً من ملفات البيئة.
خطأ؛ يجب حفظ المفاتيح والبيانات السرية في متغيرات البيئة وعدم رفعها أبداً إلى مستودع Git.
ما المزايا الهندسية التي يحققها تطبيق قائمة التحصين الأمني الشامل للتطبيق في Laravel 12؟ (اختر كل ما ينطبق)
يوفر فصلاً واضحاً للمسؤوليات، وأماناً أعلى أثناء التنفيذ، وتعاوناً أسهل بين أفراد الفريق.
يوظف إطار العمل Laravel 12 ميزات PHP 8 الحديثة مثل تحديد أنواع القيم المرجعة لجعل الكود أكثر وضوحاً وأماناً.
صواب؛ يعتمد Laravel 12 بشكل كامل على الصياغة الحديثة للغة PHP 8.2+ وسلامة الأنواع.
ما الفرق الجوهري بين معيار Laravel 12 الحديث والملفات اليدوية التقليدية في ملخص التفويض والتحصين الأمني؟
يوفر Laravel 12 واجهات قياسية موحدة وحماية مدمجة تغني عن الكود اليدوي المعرض للأخطاء.