INSIGHTS
分享開發現場真正有用的知識。
關於 Laravel、API、React、部署與產品開發的實作紀錄。
Laravel 與後端開發 · 2026.10.21
補丁八週前就到了，公告現在才來：Laravel token guard 嚴重認證繞過，你的 API 還開著門嗎？
Laravel News 的 Paul Redmond 於 2026/10/20 報導，Laravel 公布嚴重等級安全公告 GHSA-f9x3-7vq9-cph6（CVSS 9.2）：使用內建 token 驅動的 API guard（Illuminate\Auth\TokenGuard）時，在 MySQL／MariaDB 上，未經驗證的攻擊者可送出特製的非字串憑證，讓查詢比對到非預期的使用者紀錄，進而冒用既有帳號。修補方式是在 user() 與 validate() 加上 is_string() 檢查，已收錄於 2026/8/25 發布的 Laravel 12.68.0 與 13.29.0；Sanctum 與 Passport 不在公告範圍內。同日另有中度公告 GHSA-5wcm-3v2w-8362（CVSS 6.5），影響 12.45 起加入的 JSON:API resources，唯讀請求可能觸發刪除關聯資料表的操作，修補於 12.68.0 與 13.27.0。本文整理受影響條件、檢查步驟與給企業與工作室的實務建議。
Laravel 與後端開發 · 2026.10.19
分頁藏起來就別再敲門了：Inertia.js 3.9 讓輪詢懂得休息，還補上「登出後按上一頁」的漏洞
Laravel News 於 2026/10/13 報導 Inertia.js v3.9.0：usePoll() 與 router.poll() 新增 background 選項（throttle／pause／continue），分頁隱藏時可完全停止輪詢，keepAlive 改為不建議使用；navigate 事件加入 type（initial／visit／history），方便在使用者按上一頁時重新載入過期資料；呼叫 clearHistory 時會一併清空預取快取，修正登出後按上一頁仍顯示受保護頁面的問題；另有多項上一頁與 InfiniteScroll 修正。GitHub 上同日釋出的 v3.9.1 讓 XSRF 標頭只送往同源網址、每筆加密歷史改用獨立 IV，2.x 也已回補。本文整理升級重點與實務建議。
Laravel 與後端開發 · 2026.10.15
驗證規則終於全員有方法可叫：Laravel 13.36 的 Rule 建構器、DB::olap() 與佇列黏性連線重置
Laravel News 於 2026/10/14 報導 Laravel 13.36.0：所有原本只有字串語法的驗證規則都有了 Rule:: 建構器（如 requiredWithout、url、uuid、distinct、confirmed），帶參數的規則以陣列傳給驗證器，含逗號的值不再被誤拆；新增 DB::olap() 讓 PlanetScale 等 Vitess 資料庫暫時切換到 OLAP 工作負載；可選的 Worker::$flushStickyConnections；Mercure 廣播預設改為同步；佇列郵件支援 DeleteWhenMissingModels 與 FailOnTimeout；並修正 Markdown 郵件中使用者輸入的跳脫。本文整理升級重點與團隊實務建議。
Laravel 與後端開發 · 2026.10.13
搜尋條件長到塞不進網址？Laravel 13.35 送上 Route::query() 和一整籃維運小禮物
Laravel News 於 2026/10/07 整理 Laravel 13.35：新增 Route::query() 支援 HTTP QUERY 方法、queue:work 的 --memory 可用 PHP memory_limit 的百分比、Schedule::alwaysOnOneServer() 讓所有排程只在一台主機執行、長時間排程指令可感知 schedule:interrupt，以及 response()->markdown() 等。本文說明它們解決的實際問題與升級注意事項。