Actualizar composer.json a Laravel 13 y aplicar la guía oficial: PreventRequestForgery
Hola, bienvenido. En esta lección vamos a actualizar el proyecto de Laravel 12 a Laravel 13. Con PHP 8.3, Pest 4 y Tinker 3 ya instalados, basta con cambiar una línea del archivo composer.json: ^12.0 pasa a ^13.0. Después revisaremos la guía oficial, y de todo lo que cambia a nuestro código solo le afecta una cosa: el middleware de CSRF, que pasa a llamarse PreventRequestForgery.
Laravel 13 en composer.json
Como vimos con composer why-not en la lección 2, el resto de paquetes ya admite Laravel 13, así que vamos a cambiar solo la restricción de laravel/framework en composer.json:
1{
2 "name": "laravel/laravel",
3 "type": "project",
4 "description": "The skeleton application for the Laravel framework.",
5 "keywords": ["laravel", "framework"],
6 "license": "MIT",
7 "require": {
8 "php": "^8.3",
9 "guzzlehttp/guzzle": "^7.2",
− "laravel/framework": "^12.0",
+ "laravel/framework": "^13.0",
11 "laravel/sanctum": "^4.0",
12 "laravel/tinker": "^3.0",
13 "livewire/livewire": "^3.4",
14 "spatie/laravel-permission": "^6.0"
15 },
16 "require-dev": {
17 "driftingly/rector-laravel": "^2.0",
18 "fakerphp/faker": "^1.9.1",
19 "larastan/larastan": "^3.0",
20 "laravel/breeze": "^2.0",
21 "laravel/pint": "^1.13",
22 "laravel/sail": "^1.26",
23 "mockery/mockery": "^1.4.4",
24 "nunomaduro/collision": "^8.1",
25 "pestphp/pest": "^4.0",
26 "pestphp/pest-plugin-laravel": "^4.0",
27 "rector/rector": "^2.0",
28 "spatie/laravel-ignition": "^2.0"
29 },
30 "autoload": {
31 "psr-4": {
32 "App\\": "app/",
33 "Database\\Factories\\": "database/factories/",
34 "Database\\Seeders\\": "database/seeders/"
35 }
36 },
37 "autoload-dev": {
38 "psr-4": {
39 "Tests\\": "tests/"
40 }
41 },
42 "scripts": {
43 "post-autoload-dump": [
44 "Illuminate\\Foundation\\ComposerScripts::postAutoloadDump",
45 "@php artisan package:discover --ansi"
46 ],
47 "post-update-cmd": [
48 "@php artisan vendor:publish --tag=laravel-assets --ansi --force"
49 ],
50 "post-root-package-install": [
51 "@php -r \"file_exists('.env') || copy('.env.example', '.env');\""
52 ],
53 "post-create-project-cmd": [
54 "@php artisan key:generate --ansi"
55 ],
56 "qa": [
57 "@php artisan test",
58 "phpstan analyse",
59 "pint --test"
60 ]
61 },
62 "extra": {
63 "laravel": {
64 "dont-discover": []
65 }
66 },
67 "config": {
68 "optimize-autoloader": true,
69 "preferred-install": "dist",
70 "sort-packages": true,
71 "allow-plugins": {
72 "pestphp/pest-plugin": true,
73 "php-http/discovery": true
74 }
75 },
76 "minimum-stability": "stable",
77 "prefer-stable": true
78}
1{
2 "name": "laravel/laravel",
3 "type": "project",
4 "description": "The skeleton application for the Laravel framework.",
5 "keywords": ["laravel", "framework"],
6 "license": "MIT",
7 "require": {
8 "php": "^8.3",
9 "guzzlehttp/guzzle": "^7.2",
10 "laravel/framework": "^13.0",
11 "laravel/sanctum": "^4.0",
12 "laravel/tinker": "^3.0",
13 "livewire/livewire": "^3.4",
14 "spatie/laravel-permission": "^6.0"
15 },
16 "require-dev": {
17 "driftingly/rector-laravel": "^2.0",
18 "fakerphp/faker": "^1.9.1",
19 "larastan/larastan": "^3.0",
20 "laravel/breeze": "^2.0",
21 "laravel/pint": "^1.13",
22 "laravel/sail": "^1.26",
23 "mockery/mockery": "^1.4.4",
24 "nunomaduro/collision": "^8.1",
25 "pestphp/pest": "^4.0",
26 "pestphp/pest-plugin-laravel": "^4.0",
27 "rector/rector": "^2.0",
28 "spatie/laravel-ignition": "^2.0"
29 },
30 "autoload": {
31 "psr-4": {
32 "App\\": "app/",
33 "Database\\Factories\\": "database/factories/",
34 "Database\\Seeders\\": "database/seeders/"
35 }
36 },
37 "autoload-dev": {
38 "psr-4": {
39 "Tests\\": "tests/"
40 }
41 },
42 "scripts": {
43 "post-autoload-dump": [
44 "Illuminate\\Foundation\\ComposerScripts::postAutoloadDump",
45 "@php artisan package:discover --ansi"
46 ],
47 "post-update-cmd": [
48 "@php artisan vendor:publish --tag=laravel-assets --ansi --force"
49 ],
50 "post-root-package-install": [
51 "@php -r \"file_exists('.env') || copy('.env.example', '.env');\""
52 ],
53 "post-create-project-cmd": [
54 "@php artisan key:generate --ansi"
55 ],
56 "qa": [
57 "@php artisan test",
58 "phpstan analyse",
59 "pint --test"
60 ]
61 },
62 "extra": {
63 "laravel": {
64 "dont-discover": []
65 }
66 },
67 "config": {
68 "optimize-autoloader": true,
69 "preferred-install": "dist",
70 "sort-packages": true,
71 "allow-plugins": {
72 "pestphp/pest-plugin": true,
73 "php-http/discovery": true
74 }
75 },
76 "minimum-stability": "stable",
77 "prefer-stable": true
78}
Vamos a resolver las dependencias con -W, como en las 2 lecciones anteriores. Esta es la salida el 21 de octubre de 2026 (las versiones serán más nuevas cuando lo lances tú):
sail composer update -W
Salida
Loading composer repositories with package information
Updating dependencies
Lock file operations: 1 install, 3 updates, 0 removals
- Upgrading brick/math (0.14.8 => 1.0.0)
- Upgrading guzzlehttp/uri-template (v1.0.11 => v2.0.1)
- Upgrading laravel/framework (v12.70.1 => v13.38.0)
- Locking symfony/polyfill-php86 (v1.43.0)
Writing lock file
Installing dependencies from lock file (including require-dev)
Package operations: 1 install, 3 updates, 0 removals
...
> @php artisan vendor:publish --tag=laravel-assets --ansi --force
INFO No publishable resources for tag [laravel-assets].
No security vulnerability advisories found.
4 paquetes, y los 4 llegan por Laravel:
- Laravel 13.38, la última versión de la rama 13.x ese día, sin avisos de seguridad.
symfony/polyfill-php86, una dependencia nueva que añade a PHP 8.3 lo que llegará con PHP 8.6, como la funciónclamp(), la funcióngrapheme_strrev()o la constanteARRAY_FILTER_USE_VALUE. Solo las define si PHP no las tiene ya.brick/math1.0 yguzzlehttp/uri-template2. Laravel ya las usaba, la primera para los casts decimales de Eloquent y la segunda para las URL con parámetros del cliente HTTP, y Laravel 13 admite sus versiones major nuevas, así que-Wlas actualiza.
La guía oficial avisa de otro polyfill, symfony/polyfill-php85, que define funciones globales como array_first() y array_last() y que puede entrar en conflicto con helpers propios que se llamen igual. La guía lo presenta como una dependencia nueva de Laravel 13, pero en la salida no aparece porque ya estaba instalado: las últimas versiones de Laravel 12, como la 12.70, ya lo instalan. Y el proyecto no define funciones con esos nombres ni con los de polyfill-php86: si buscas function array_first, function array_last o function clamp en app/, routes/, database/ y tests/, no encuentras nada.
Vamos a comprobar con qué versión arranca el proyecto:
sail artisan about --only=environment
Salida
Environment ................................................................
Application Name ................................................... Tickets
Laravel Version .................................................... 13.38.0
PHP Version ......................................................... 8.3.36
Composer Version .................................................... 2.10.3
...
Laravel 13 sobre PHP 8.3, sin haber cambiado una línea de código. Vamos a lanzar composer qa para comprobar que todo sigue en verde:
sail composer qa
Salida
PASS Tests\Unit\SlaTest
✓ the due date depends on the priority with dataset "high" 0.02s
...
Tests: 82 passed (175 assertions)
Duration: 5.79s
Note: Using configuration file /var/www/html/phpstan.neon.
66/66 [▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓] 100%
[OK] No errors
............................................................................
...............................
──────────────────────────────────────────────────────────────────── Laravel
PASS ......................................................... 107 files
Los tests en verde nos dicen que nada ha dejado de funcionar, pero ¿qué ha cambiado en el framework? Eso lo cuenta la guía oficial.
Lo que queda de esta lección
- 02Qué cambios de la guía de Laravel 13 afectan al proyecto
- 03VerifyCsrfToken pasa a llamarse PreventRequestForgery
- 04preventRequestForgery() en bootstrap/app.php
- 05ValidateCsrfToken en config/sanctum.php: obsoleta, pero sin aviso
- 06Qué puede bloquear la comprobación de origen
- 07composer qa en verde y el commit
Sigue leyendo con tu suscripción
El curso completo, con el certificado y el foro, está incluido en la suscripción.
Ver los planes
¿Ya tienes cuenta? Entra
