API路由需显式绑定中间件，禁用Route::fallback()，统一错误响应，资源类须显式定义字段，敏感接口用签名token替代ID，杜绝信息泄露。
API 路由没加中间件，api 前缀根本不管用
很多人以为只要把路由写在 routes/api.php 里，就自动“隐藏”或“受保护”了。不是的。api 前缀只是路由分组的命名约定，不带任何访问控制。没配中间件的路由，和 routes/web.php 里裸奔的路由一样，谁都能调用。
实操建议：
- 所有敏感 API 必须显式绑定中间件，比如
auth:sanctum、throttle:api或自定义中间件 - 检查
app/Http/Kernel.php中api路由组默认加载的中间件栈，别依赖默认值——throttle:60,1这种限流配置容易被绕过，生产环境建议调低并加 IP 绑定 - 用
php artisan route:list --name=xxx确认目标路由是否真的绑定了中间件，别只看路由文件位置
Route::fallback() 会暴露未定义端点
开发时习惯加个 Route::fallback() 返回 404 页面，但在 API 场景下，它会把所有非法路径都响应成 404，反而帮攻击者做路径探测：试一个错的 endpoint 得到 404，试一个对的也得 404，没法区分是否存在。
实操建议：
- API 项目禁用
Route::fallback()；改用更严格的匹配策略，比如在routes/api.php开头加Route::any('{any}', function () { abort(404); })->where('any', '.*');，但注意这个也要放在所有具体路由之后 - 如果用了 Sanctum 或 Passport，确保
fallback不绕过认证中间件——否则未登录用户也能触发 fallback 并拿到一致响应 - Nginx/Apache 层也别配兜底
try_files回退到 index.php，避免 PHP 层还没介入就被路由到错误处理逻辑
模型隐式绑定 + findOrFail() 可能泄露资源存在性
用 Route::get('/users/{user}', ...) 配合隐式绑定，或者手动 User::findOrFail($id)，一旦 ID 不存在就会抛 ModelNotFoundException，Laravel 默认转成 404 响应。问题在于：攻击者发一堆不同 ID 请求，通过响应时间或响应体细微差异（比如 JSON key 是否出现 user 字段），就能判断 ID 对应记录存不存在。
实操建议：
- 对非公开资源，改用
whereDoesntExist()或先查再判空，统一返回 404，且响应结构、延迟、Header 都保持一致 - 避免在错误响应里返回原始 SQL 或模型名，检查
APP_DEBUG=false且APP_ENV=production已生效——否则findOrFail报错可能直接吐出表名 - 敏感接口如密码重置、邮箱验证，不要用 ID 做路径参数，改用一次性签名 token，比如
/reset/{token}，验证失败一律返回 404 + 相同响应体
API 资源类（Resource）意外暴露字段
JsonResource 类看似只返回指定字段，但如果模型有 $casts、$appends、$hidden 或 $visible 设置没同步更新，或者用了 toArray() 漏掉过滤，就可能把 password_hash、remember_token、deleted_at 这类字段带出去。
实操建议：
- 永远用
Resource显式定义输出字段，别依赖模型的$hidden——因为Resource构造函数接收的是已加载的模型实例，$hidden在序列化前已被忽略，但 Resource 本身可能又加回去了 - 在 Resource 的
toArray()里用data_get()或optional()安全取值，避免关系未加载时报错导致堆栈泄漏 - 上线前用 Postman 或 curl 对几个典型接口抓包，比对响应体，确认没有多出调试字段（比如
_debug_info、query_log）
真正的隐藏不是靠路径藏得深，而是让攻击者无法从响应中获得任何推理依据——时间、状态码、字段名、响应长度，全都要收束。这点最容易被跳过，尤其在赶工期的时候。
