Prevent weak passwords

[Ryuno-Ki]

Ich konnte mich mit einem schwachen Passwort wie 0123456890 registrieren, weil Laravel nur acht Zeichen verlangte.
Wir können das besser.

@stevenobird Kannst du bitte einmal anschauen, ob eine Regel anlegen der empfohlene Weg ist? laravel/ui sei ja nicht mehr zu benutzen, meintest du.

Es gibt Listen von den häufigsten Passwörtern.
Etwa

• von OWASP -> Passwords/Common-Credentials
• von HIBP

Wir könnten die Liste ein klein wenig eindampfen, indem wir die 8 Zeichen beibehalten (persönlich bin ich für doppelt so viele).
Insgesamt sind längere Passwörter schwieriger zu cracken als kürzere. Ich bin dafür, dass wir eine Liste davon als TXT bereithalten. Allerdings könnte GitHub da mittelfristig die Dateigröße bemängeln, so dass hier eine Liste in einem Bucket durchaus sinnvoll sein könnte. Wie das geschützt wird, weiß ich nicht. Ist Amazon.

[stevenobird]

Neben den Standardregeln kann man natürlich auch - wie im Artikel beschrieben - eigene Validation Rules anlegen.

laravel/ui benutzt man glaube ich noch bei Laravel Breeze, oder Breeze hat es ersetzt - so ganz sicher bin ich mir nicht mehr. Prinzipiell ist die Validierung der selbe Mechanismus. Nur ist der Ort anders: Mit Breeze bzw. laravel/ui hat man dafür z.B. einen LoginController oder RegisterController, während Jetstream bzw. Fortify (worauf Jetstream gewissermaßen aufbaut) Actions nutzt.

Bei uns wird beim Anlegen von Benutzern in der CreateNewUser Action hier ein Validator gebaut, wobei das password Feld den Output von PasswordValidationRules bekommt.

Theoretisch könnte man an Password::default() noch die ->uncompromised() Methode chain-callen - das würde die API von haveibeenpwned in diesem Code aufrufen.

Neben Passwörtern können wir das ganze mit Passkeys auch noch auf eine eher neue Methode der Authentifizierung hebeln.
Ein Package vom sehr bekannten und beliebten Entwickler Spatie ist gerade noch in Entwicklung, es gibt aber auch schon einen Screencast von Laracasts, der eine eigene Implementierung demonstriert - wäre ja vielleicht auch noch eine Idee.