.org 1 一、序言 新版特性 Laravel 5.6 在 Laravel 5.5 的基础上继续进行优化，包括日志系统、单机任务调度、模型序列化优化、动态频率限制、广播频道类、API 资源控制器 生成、Eloquent 日期格式化优化、Blade 组件别名、Argon2 密码哈希支持、引入 Collision 扩展包等等等等。此外，所有的前端脚手架代码都已升 级到 Bootstrap { // }); }); 广播频道类 如果你的应用消费多个不同的频道，routes/channels.php 文件可能会变得很臃肿，所以，作为使用闭包来授权频道的替代方案，你现在可以使用 频道类。要生成一个频道类，可以使用 Artisan 命令 make:channel。该命令会将新生成的频道类存放到 app/Broadcasting 目录下： php artisan OrderChannel 接下来，在 routes/channels.php 文件中注册这个频道类： use App\Broadcasting\OrderChannel; Broadcast::channel('order.{order}', OrderChannel::class); 最后，可以将频道的授权逻辑放到频道类的 join 方法。join 方法中的代码等同于之前位于频道授权闭包中的处理逻辑。当然，你还可以使用频道模

$job->release(5); }); } } 本文档由学院君提供 学院君致力于提供优质 Laravel 中文学习资源：https://xueyuanjun.com 7 创建完中间件后，可以通过在任务类的 middleware 方法中返回中间 件数组来将其追加到队列任务中： use App\Jobs\Middleware\RateLimited; /** * Get the middleware 中新引入了一个 LazyCollection 类来对 Collection 类进行 补充，LazyCollection 底层基于 PHP 的生成器实现，适用于处理 大型数据集。 例如，假设你的应用需要处理 GB 级别的日志文件，并使用 Laravel 的集合方法来解析日志，这个时候将整个日志文件一次性读取到内存 显然是不合适的，这个时候懒集合类就派上用场了，它可以每次只读 取文件的一小部分到内存： 代码： composer require laravel/ui php artisan ui vue --auth 升级指南 重要更新概览 影响较大  授权资源 & viewAny  字符串 & 数组辅助函数 影响中等  认证 RegisterController  不再支持 Carbon 1.x  数据库 Capsule::table 方法  Eloquent 数组化

更多有关测试的内容，请查看测试一节。 模型工厂 Laravel 现在可以通过使用模型工厂附带一种简单的方式类创建 Eloquent 模型存根，模型工 厂允许你为 Eloquent 模型定义一系列默认属性，然后为测试或数据库填充生成模型实例。 模型工厂还可以利用强大的 PHP 扩展库 Faker 类生成随机的属性数据。 $factory->define('App\User', function ($faker) AuthController 中是否已经被导入。 PasswordController 不再需要在构造函数中声明任何依赖，可以移除 5.0 中要求的两个依 赖。 验证 如果你重写了 Controller 类中的 formatValidationErrors 方法，需要将类型提示由 Illuminate\Validation\Validator 改为 Illuminate\Contracts\Validation\Validator。 式的情况下对格式化序列化的 Eloquent 日期字段有着更加细粒度的控制。 本文档由 Laravel 学院（LaravelAcademy.org）提供 6 Collection 类 sortBy 方法 sortBy 方法现在返回一个新的 collection 实例而不是改变已有的 collection： $collection = $collection->sortBy('name');

全局作用域、可选择的认证脚手架、中间件组、访问频 率限制、数组输入验证优化等等。 多认证驱动 在之前的 Laravel 版本中，框架只支持默认的、基于 session 的认证驱动，且在单个应 用中只能拥有一个认证模型类（对应单张表），这为我们实现某型功能，比如前后端分离 登录带来麻烦。 我们对此进行了改进，在 Laravel 5.2 中，你可以定义多个认证驱动，还有多个认证模型 以及用户表，并且可以独立控制其认证 中，框架将会基于相应 URI 片段自动注入模型，从而允许你快速 访问需要的模型实例。 如果路由参数片段 {user} 匹配路由闭包或控制器方法中相应变量 $user，并且被类型声明 为一个 Eloquent 模型类的话，Laravel 将会自动注入该模型。 更多隐式模型绑定详情请查看 Laravel 5.2 文档 HTTP 路由模型绑定部分。 中间件组 中间件组允许你通过单个方便的键来对相关路由中间件进行分组，从而为某个路由一次指 Illuminate\Contracts\Auth\Authenticatable 契约但没有使 用 Authenticatable trait，那么需要添加一个新的 getAuthIdentifierName 方法到该契约 实现类。通常，该方法返回认证实体的主键字段名，如：id。 这对你的应用没有什么影响，除非你手动实现 了 Illuminate\Contracts\Auth\Authenticatable。 自定义驱动

路由方面提供了指导。api 路由文件中的路由会通 过 RouteServiceProvider 自动添加 api 前缀和 auth:api 中间件。 闭包控制台命令 除 了 通 过 命 令 类 定 义 之 外 ， 现 在 Artisan 命 令 还 可 以 在 app/Console/Kernel.php 文 件 的 commands 方法中以简单闭包的方式定义。在新安装的 Laravel 的语言特性。 废弃 所有罗列在 Laravel 5.2 升级指南中的废弃功能都已从框架中移除，你需要查看这个列表以确定不 再使用这些废弃功能。 数组 key/value 顺序更改 Arr 类上的 first、last、以及 contains 方法现在将“value”作为第一个参数传递给给定闭包，例 如： Arr::first(function ($value, $key) { 'Auth\LoginController@logout'); 授权 使用类名调用策略方法 有时候一些策略方法只接收当前认证用户而不是授权模型实例，最常见的场景就是授权 create 动 作。例如，如果你在创建一篇博客，你可能希望检查当前用户是否被授权创建文章。 当定义一个不接收模型实例的策略方法时，比如 create 方法，对应类名就不再需要以第二个参 数的方式传入，只需要传入认证用户实例即可：

輮 輱 輹 輲 輵 輮 輶 别名（轁 转 轩 轡 轳 轥 轳 ） 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輱 輹 輷 輵 輮 輷 类自动加载（轁 轵 轴 软 转 软 轡 轤 轩 轮 轧 ） 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輱 輹 輹 輵 輮 輸 服务定位器（轓 轥 轲 轶 轩 轣 轥 轌 轩 轃 轏 轎 轔 轅 轎 轔 轓 匱 匶 助 助 助手 手 手类 类 类（ （ （午 卥 卬 印 卥 卲 即 ） ） ） 匵 匱 匱 輱 輶 輮 輱 助手类（轈 轥 转 轰 轥 轲 轳 ） 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輵 輱 輱 輱 輶 輮 輲 数组助手类（轁 轲 轲 轡 轹 轈 轥 转 轰 轥 轲 ） 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輵 輱 輲 輱 輶 輮 輳 轈 轴 轭 转 帮助类（轈 轴 轭 转 轨 轥 转 轰 轥 轲 ） 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輵 輲 輱 輱 輶 輮 輴 轕 轲 转 助手类（轕 轲 转 轈 轥 转 轰 轥 轲 ） 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輮 輵

2010> 典型攻击 n 注入类（以其人之道还治其人之身） q SQL注入 q OS命令注入 q LDAP注入 q 远程文件包含 n 绕过防御类（凌波微步） q 目录遍历 q 不安全对象引用 n 跨站类（隔山打牛） q 跨站脚本 q 跨站请求伪造 n 资源消耗类（吸星大法） q 分布式拒绝服务 n 篡改仿冒类（瞒天过海） q 认证和会话管理失效 认证和会话管理失效 q 隐藏变量篡改 n 配置管理类（家法不严） q 不安全的数据存储 q 信息泄露和不正确的参数处理 应用安全问题根源 防火墙/IPS OS Web服务器 应用服务器 防火墙\IPS 数据库系统 遗留系统 Web 服务 目录服务 人力资源 计费 定制开发的应用代码 用户和 攻击者 网络层防护(防火墙, SSL, IDS, OS加固) 无法检测并阻止应用层攻击 UID =' Admin '-­-­ ' And Passwd =' ' 注: -­-­ 符号后的字符会被当作注释，因此上例中And子 句将被SQL视为注释 19 原理 n SQL注入的产生 q 动态字符串构建 n 不正确的处理转义字符 n 不正确的处理类型 n 不正确的处理联合查询 n 不正确的处理错误 n 不正确的处理多次提交 q 不安全的数据库配置

false, //警告级别的日志默认不记录 'log_prefix' => 'cml_log', //会显示到日志内容中,同时当以redis为驱动的时候会做为队列的前缀 //Log类使用redis为驱动时使用的缓存配置key 'redis_log_use_cache' => 'default_cache',//只有在该缓存的驱动为redis的时候才有效,否则会 报错 echo '欢迎使用cml框架,应用初始化成功'; } } 可以看到 控制器都有带 Controller 后缀 且必须继承 Cml\Controller 这个基类 在这边命名空 间以 web\Controller 开始 因为这边 DefaultController 直接是存放在 web\Controller 目录 下 所以命名空间为 web\Controller 则为 模型名 + Model (如 User 模型的文件名 为 UserModel.php ，名字中的Model后缀也是可选)，模型名首字母大写, Cml\Model 为所有模 型的基类，所有Model都要继承它，比如我们有一个pre_user表，相对应的我们声明一个无表前 缀前缀的 UserModel

false, //警告级别的日志默认不记录 'log_prefix' => 'cml_log', //会显示到日志内容中,同时 当以redis为驱动的时候会做为队列的前缀 //Log类使用redis为驱动时使用的缓存配置key 'redis_log_use_cache' => 'default_cache',//只有在 该缓存的驱动为redis的时候才有效,否则会报错 echo '欢迎使用cml框架,应用初始化成功'; } } 可以看到 控制器都有带 Controller 后缀 且必须继承 Cml\Controller 这个基类 在这边命名空间 以 web\Controller 开始 因为这边 DefaultController 直接 是存放在 web\Controller 目录下 所以命名空间为 web\Controller 中，命名规则为 模型名 + Model (如 User 模型的文件名 为 UserModel.php ，名字中的Model后缀也是可选)，模型名首 字母大写, Cml\Model 为所有模型的基类，所有Model都要继承 它，比如我们有一个pre_user表，相对应的我们声明一个无表前缀 前缀的 UserModel