APP_DEBUG=true auf einer Live-Laravel-Seite zeigt Ihr Datenbankpasswort und Ihre API-Schlüssel auf der Fehlerseite, und eine in public_html vergessene .env-Kopie wird innerhalb weniger Stunden von Bots heruntergeladen. Dieser Skill findet diese und neun weitere Laravel-Konfigurationsfehler vor dem Deployment und erklärt, wie Sie jeden beheben.

Ihr Agent führt einen Scanner über Ihr Projekt aus: jede .env-Datei (.env, .env.production, Sicherungskopien; Beispiele und Vorlagen werden übersprungen) und jede config/*.php-Datei. Er liest .env-Dateien so wie Laravel (Anführungszeichen, export, Kommentare, der letzte Wert gewinnt) und liest PHP-Konfigurationsarrays mit ihren Kommentaren, Strings und Standardwerten in env('NAME', default). Lokale und Testumgebungen werden gelesen, aber nicht gemeldet. Er führt nie PHP oder artisan aus. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Grund und einem sichereren Ansatz. Schlüssel und Passwörter werden nie ausgegeben.

Was geprüft wird

BLOCK (vor dem Release beheben)

• L01: APP_DEBUG in der Produktion aktiviert oder true als Standard in config/app.php

• L02: ein APP_KEY, der ein Beispielwert ist, zu kurz ist oder in config/app.php steht

• L03: ein Passwort, Secret oder API-Schlüssel in einer Konfigurationsdatei oder einem env()-Standardwert

• L04: eine .env-Datei oder -Kopie in public/, public_html/ oder einem anderen Web-Root-Ordner

REVIEW (vor dem Release prüfen)

• L11: Session-Cookie nicht secure oder per JavaScript lesbar

• L12: CORS, das jeden Origin mit supports_credentials erlaubt

• L13: Telescope oder Debugbar in der Produktion aktiviert

• L14: LOG_LEVEL=debug in der Produktion

• L15: eine APP_URL mit http://

• L16: der Datenbankbenutzer root oder ein leeres Datenbankpasswort

• L17: BCRYPT_ROUNDS unter 10

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Grund und sichererem Ansatz für jede Regel

• Ein riskantes und ein sicheres Beispielprojekt (.env.production und Konfigurationsdateien), eine .env-Kopie in public/ zum Finden und der echte Bericht des Scanners zum riskanten Beispiel

Grenzen

Er liest Dateien so, wie sie geschrieben sind, daher werden Werte aus der echten Serverumgebung, config:cache und Code in Service Providern nicht berücksichtigt, und er erkennt keinen Webserver, dessen Document Root der gesamte Projektordner ist. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 15 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Grund und sichererem Ansatz) und examples/ (10 Beispieldateien plus report.md, die echte Scanner-Ausgabe zum riskanten Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne Installation. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, nichts wird irgendwohin gesendet.