Laravel 13 setzt PHP 8.3 oder neuer voraus. Laut Gründer Taylor Otwell sind für das Upgrade keine Anpassungen an der bestehenden Geschäftslogik nötig, die meisten Projekte kommen mit einer Änderung in der composer.json und rund zehn Minuten Aufwand aus.

use Illuminate\Queue\Attributes\WithQueue;

#[WithQueue(connection: 'redis', queue: 'payments', tries: 3, timeout: 60)]
class ProcessPayment implements ShouldQueue
{
}

Die Version führt natives PHP-#[Attribute]-Syntax an mehr als 15 Stellen im Framework ein. Queue-Jobs können Verbindung, Queue-Name, Wiederholungsanzahl und Timeout jetzt mit einem einzigen #[WithQueue]-Attribut deklarieren statt mit einem Block öffentlicher Eigenschaften, und Eloquent-Modelle können Tabellennamen sowie füllbare und verborgene Felder auf die gleiche Weise über #[Table], #[Fillable] und #[Hidden] festlegen. Die bisherige Eigenschaften-Syntax bleibt weiterhin funktionsfähig, die Umstellung ist also vollständig optional.

Eine neue Methode Cache::touch() erlaubt es, die Ablaufzeit eines Cache-Eintrags zu verlängern, ohne den Wert zu lesen und neu zu schreiben. Redis erledigt dies mit einem einzelnen EXPIRE-Befehl, Memcached mit einem nativen TOUCH, und datenbankgestützte Caches mit einem einfachen UPDATE, wodurch der zusätzliche Roundtrip und der Serialisierungsaufwand des bisherigen Lese-Schreib-Verfahrens entfallen.

Zeitgleich mit Laravel 13 erscheint eine stabile Version des offiziellen Laravel AI SDK, das Vektor- und semantische Suche direkt ins Framework bringt. Anwendungen, die PostgreSQL mit der pgvector-Erweiterung nutzen, können die neue Methode whereVectorSimilarTo() direkt im Query Builder aufrufen. Das SDK übernimmt außerdem die Erzeugung von Embeddings und die Anbindung an Modelle von OpenAI, Anthropic und Ollama.

Die offiziellen Starter-Kits und das Authentifizierungspaket Fortify unterstützen jetzt nativ Passkeys auf Basis von WebAuthn. Neue Anwendungen können damit biometrische Anmeldungen wie Touch ID, Face ID und Windows Hello sowie physische Sicherheitsschlüssel anbieten, ohne zusätzliche Konfiguration. Da die privaten Schlüssel auf dem Gerät des Nutzers verbleiben, entfallen Phishing und Credential Stuffing als Angriffsvektoren gegen die Login-Endpunkte.

Queue-Routing lässt sich nun zentral in einem Service Provider über Queue::route() festlegen. Entwickler können Verbindungen und Queue-Namen für Job-Klassen wie ProcessPodcast oder GeneratePdfReport an einer Stelle zuweisen, statt die Konfiguration bei jedem dispatch()-Aufruf zu wiederholen.

Kleinere Ergänzungen sind ein MySQL/PostgreSQL-Treiber für Laravel Reverb, der eine horizontale Skalierung ohne eigene Redis-Instanz erlaubt, eine Standard-Nebenläufigkeit von 2 für Http::pool() statt serieller Ausführung, sowie die Rückkehr von teambasierter Mandantenfähigkeit in die Starter-Kits mit tab-isoliertem URL-Routing, sodass Nutzer Teams in verschiedenen Browser-Tabs wechseln können, ohne den Sitzungszustand zu stören.