Konfigurácia

Všetko je v config/authentication.php. Kľúče najvyššej úrovne sú globálne. Všetko pod defaults platí pre každý guard a dá sa prepísať v guards.<name> — asociatívne polia sa zlučujú rekurzívne, zoznamy sa nahrádzajú celé (identifier.columns = ['username'] nahradí ['email'], nezlučuje sa podľa indexu).

php artisan vendor:publish --tag=authentication-config

'guards' => [
    'users' => ['model' => App\Models\User::class],
    'clients' => [
        'model' => App\Models\Client::class,
        'login' => ['password' => false, 'magic_link' => true, 'passkey' => true],
        'two_factor' => ['mode' => 'off'],
        'passkeys' => ['mode' => 'optional', 'second_factor' => 'off'],
        'registration' => ['mode' => 'open'],
        'routes' => ['enabled' => true, 'prefix' => 'clients/auth'],
    ],
],

Každý guard je izolovaný: vlastný model a tabuľka, vlastná JWT audience, vlastný typ vlastníka refresh tokenov, vlastné kľúče limitov, vlastné záznamy aktivity a vlastné routy. Dva guardy nemôžu zdieľať model (rola v jednej tabuľke je autorizácia, nie guard) ani audience.

Globálne kľúče

Kľúče guardu (defaults.*)

Každý prepínač zapnuté/vypnuté prijíma bežné zápisy z env — true/false, 1/0, on/off, yes/no — takže AUTHENTICATION_LOGIN_PASSWORD=off prihlásenie heslom naozaj vypne. Kľúč, ktorý nie je nastavený — chýba, je null alebo je prázdny (prázdny reťazec či medzery, čo dá riadok KEY= v .env) —, sa číta ako uvedená predvolená hodnota; čokoľvek iné (preklep ako disabled) vyhodí pri načítaní guardu AuthenticationMisconfigured s názvom kľúča a authentication:check ho vypíše. Rovnako striktné sú aj dvojhodnotové reťazcové kľúče (identifier.normalize, risk.deny_response) a kľúče režimov (two_factor.mode, registration.mode, notifications.delivery, …): prázdna hodnota použije predvolenú hodnotu balíka, preklep vyhodí výnimku.

Striktné čítanie

Rovnako striktne sa čítajú aj všetky ostatné kľúče a kontrolujú sa pri načítaní guardu:

• Celé čísla (platnosti, limity pokusov, limity požiadaviek, dĺžky) prijímajú int alebo kanonický reťazec s celým číslom, takže five či 1.5 vyhodí výnimku, namiesto toho, aby sa prečítala ako predvolená (prázdna hodnota sa považuje za nenastavenú, takže platí predvolená) — a rovnako aj hodnota mimo rozsahu: platnosti a limity najmenej 1, email_otp.length a verification.code_length 6–8, pokusy o kód 1–100, passwords.policy.max najmenej policy.min.
• 0 sa prijme len tam, kde má význam: tokens.refresh_absolute_ttl (bez limitu), invitations.resend_cooldown, verification.resend_decay a passwords.policy.uncompromised.threshold. tokens.access_ttl a sessions.max_active sú null alebo prázdne (TTL z jwt / bez limitu) alebo najmenej 1.
• Reťazcové kľúče s predvolenou hodnotou (identifier.email_column, invitations.ability, activity.new_device.header, routes.prefix, routes.name, každá šablóna notifications.urls.*) vyhodia výnimku, ak nie sú reťazcom, a prázdnu hodnotu čítajú ako nenastavenú → predvolená hodnota; voliteľné (laravel_guard, two_factor.issuer, fronty, frontend_url, class-stringy) vyhodia výnimku, ak nie sú reťazcom, a prázdnu hodnotu čítajú ako nenastavenú → bez hodnoty.
• Zoznamové kľúče (identifier.columns, routes.middleware, locale.supported …) musia byť zoznamy neprázdnych reťazcov — chybná položka vyhodí výnimku, nikdy sa potichu nevynechá.

Globálne názvy tables.* a columns.* vyhodia výnimku, ak nie sú reťazcom, a prázdnu hodnotu čítajú ako nenastavenú → názov z balíka; default číta prázdnu hodnotu ako users; hash_key a reauthentication_store vyhodia výnimku, ak nie sú reťazcom (prázdna hodnota je nenastavená → odvodený kľúč / predvolený store).

Prostredie (env)

Bežné prepínače sú riadené cez env (prepínače zapnuté/vypnuté sa čítajú ako boolean):

AUTHENTICATION_GUARD=users
AUTHENTICATION_KEY_TYPE=bigint
AUTHENTICATION_HASH_KEY=
AUTHENTICATION_USERS_MODEL=App\Models\User

# on/off switches accept true/false, 1/0, on/off, yes/no
AUTHENTICATION_LOGIN_PASSWORD=true
AUTHENTICATION_LOGIN_MAGIC_LINK=off
AUTHENTICATION_LOGIN_EMAIL_OTP=off
AUTHENTICATION_LOGIN_PASSKEY=off

AUTHENTICATION_TWO_FACTOR=optional
AUTHENTICATION_PASSKEYS=optional
AUTHENTICATION_REGISTRATION=closed
AUTHENTICATION_VERIFICATION=optional
AUTHENTICATION_PASSWORD_BREACH_CHECK=false

AUTHENTICATION_NOTIFICATION_DELIVERY=after_response
AUTHENTICATION_FRONTEND_URL=https://app.example.com

Validácia

Guard sa validuje pri prvom použití — prvý problém vyhodí AuthenticationMisconfigured s názvom kľúča a php artisan authentication:check vypíše všetky naraz. Pravidlá zahŕňajú:

• Model existuje, je to Eloquent model a implementuje Account.
• Zapnuté 2FA vyžaduje TwoFactorAuthenticatable; zapnuté passkeys (alebo prihlásenie passkey) vyžadujú HasPasskeys.
• Aspoň jeden spôsob prihlásenia je zapnutý; invite_only vyžaduje invitations.enabled.
• Vynútené nastavenie faktora s enrolment_requires_verified_email vyžaduje verification.mode iné ako off.
• laravel_guard je jwt guard, ktorého token_version je TokenVersionResolver.
• authentication.key_type sa zhoduje s passkeys.key_type aj refresh-tokens.key_type a zodpovedá mu kľúč modelu.
• Pri viacerých guardoch: odlišné laravel_guardy, morph triedy modelov aj JWT audience.
• Každý prepínač, enum, celé číslo, reťazec aj zoznam sa načíta bez chyby (pozrite Striktné čítanie vyššie), takže preklep zlyhá už pri načítaní guardu — nikdy nie uprostred toku.