Ядро фреймворка

Аутентификация отвечает на вопрос кто вы: проверяет учётные данные и устанавливает текущего пользователя. Авторизация отвечает на вопрос можно ли вам это: проверяет, что уже опознанному пользователю позволено выполнить это действие над этим ресурсом. Аутентификация идёт первой — вход в систему ещё не даёт прав.

Middleware — это слой, оборачивающий цикл «запрос — ответ». Каждый получает запрос, может что-то с ним сделать, вызывает $next($request), передавая дальше по цепочке, и затем может изучить или изменить ответ на обратном пути. Стоит между ядром и контроллером — там живут авторизация, CORS и троттлинг.

Роутер сопоставляет URL с действием контроллера. Контроллер координирует: тянет данные через модели — Eloquent-модели или сущности Doctrine — и отдаёт результат представлению (Blade или Twig) на отрисовку. Контроллер должен оставаться тонким; бизнес-правила живут в модели или сервисе, а не в действии.

Одно объявление порождает фиксированный набор именованных маршрутов на один контроллер: GET /posts вызывает index, POST /posts — store, GET /posts/{id} — show, PUT или PATCH /posts/{id} — update, а DELETE /posts/{id} — destroy. Действие выбирается парой из глагола и пути.

Он сам её разрешает и создаёт. Контейнер читает типы в конструкторе, рекурсивно создаёт каждую зависимость и внедряет их, поэтому вы никогда не пишете new для соавтора руками. Привязки говорят, какой конкретный класс подставить вместо интерфейса, а привязка-синглтон переиспользует один экземпляр.

Сессия держит состояние на сервере: кука несёт только идентификатор, а сервер поднимает сессию по нему, поэтому отзыв доступа мгновенный, но нужны общее хранилище и защита от CSRF. JWT самодостаточен и не хранит состояния — сервер лишь проверяет подпись, что хорошо масштабируется, но отозвать его до истечения нельзя.

Blade компилируется в обычный PHP, поэтому шаблон может вызвать любой PHP-код — удобно и легко злоупотребить. У Twig собственный изолированный синтаксис без сырого PHP вовсе, и вывод экранируется по умолчанию. Blade экранирует через {{ }}, а {!! !!} отключает это. Twig навязывает дисциплину, Blade вам доверяет.

Вы помечаете действие: #[Route('/posts/{id}', name: 'post_show', methods: ['GET'])]. Symfony читает эти атрибуты рефлексией при прогреве кэша и компилирует их в таблицу маршрутов, поэтому во время выполнения сопоставление — это поиск, а не перебор. Плейсхолдеры вроде {id} приходят аргументами действия.

Правила объявляются на свойствах — #[Assert\NotBlank], #[Assert\Email] — и вызывается $validator->validate($dto). Он обходит эти метаданные рефлексией, выполняет каждое ограничение и возвращает ConstraintViolationList. Объект остаётся обычным DTO; правила путешествуют вместе с ним, а не с контроллером.

Контейнер разрешает по типу. Когда PaymentGatewayInterface реализуют два класса, он не может выбрать и падает на этапе compile — громко, а не молча берёт первый попавшийся. Лечится явной привязкой: alias или #[Autowire] в Symfony, bind() в Laravel.

Действие диспатчит доменное событие вроде OrderPlaced и ничего не знает о том, кто на него отреагирует. Каждый побочный эффект — отдельный listener, тестируемый в одиночку, и может реализовать ShouldQueue, чтобы выполниться вне запроса. Плата: поток управления становится неявным.

Метод типизируется через FormRequest, и контейнер его разрешает: до выполнения тела он вызывает authorize(), а затем rules(). Нарушение бросает ValidationException — 422 для API или редирект назад с ошибками для веб-формы, — поэтому тело видит только $request->validated().

Это не статический класс: Cache::get() попадает в __callStatic, который достаёт настоящий объект из контейнера и перенаправляет вызов. Критика в том, что он прячет зависимости: конструктор больше не объявляет, что нужно классу, и тесты уходят в статические моки.

Класс политики привязан к одной модели; её методы — это права с сигнатурой (User $user, Post $post): bool. Вызывается она как $this->authorize('update', $post) или через middleware can:, а отказ бросает AuthorizationException → 403. Экземпляр даёт проверить владение.

Провайдер — единица начальной загрузки. В register() можно только делать bind в контейнер, но нельзя разрешать сервис: другие провайдеры могли ещё не зарегистрироваться. boot() идёт после всех, там уже можно добавлять маршруты и слушателей. Deferred грузятся лениво.

Middleware — конвейер декораторов: слой получает запрос и замыкание $next, работает до и после него, а обрывает цепочку, не вызвав $next, поэтому порядок осмыслен. Слушатель ядра же уведомляется на событиях жизненного цикла и обрывает цепочку, выставив ответ.

Sanctum лёгкий: непрозрачные токены в базе, несущие abilities, которые проверяются при авторизации, плюс режим на куках для SPA того же домена. Passport — полноценный OAuth2-сервер. Своей SPA или своему приложению хватит Sanctum; сторонним клиентам нужен Passport.

Он разрешает каждый параметр конструктора по type-hint через рефлексию, на этапе compile контейнера, при autowire: true в services.yaml. Результат — скомпилированный PHP-класс контейнера, а не поиск на каждый запрос, поэтому ошибка связывания всплывает при прогреве кеша.

Политика привязана к одному классу модели: её методы — это права, и отвечает ровно одна политика. Voter же ни к какому классу не привязан — он объявляет supports($attribute, $subject), а access decision manager опрашивает каждый voter и сводит голоса по стратегии.

Рендерите ошибки в ОДНОМ месте — в обработчике исключений, — который сопоставит каждому доменному исключению статус-код. Отдавайте один конверт (application/problem+json): валидация и авторизация различаются полями, а не формой. Исход несёт статус, а не 200. Стектрейс — в лог.

Версионирование в URI — прагматичный выбор по умолчанию: оно видно, кэшируется, маршрутизируется. Media-type чище в теории, но враждебен клиентам и кэшам. Версионируйте контракт, а не кодовую базу: один слой бизнес-логики, меняется лишь сериализатор. Токены на клиента показывают, кто ещё зовёт v1.

Объявить в самом ответе, измерить, затем удалить. Отдавайте заголовки ответа Deprecation и Sunset, чтобы срок ехал с каждым ответом. Middleware пишет идентификатор клиента на каждый вызов — так появляется кривая использования по клиентам. Перед датой сделайте короткий brownout из 410.

Синхронное чтение с фиксированным контрактом — вызов REST. А 50 тысяч уведомлений без ответа — на очередь: производителю всё равно, что потребитель лежит, а долговечность и повторы даёт только брокер. GraphQL окупается лишь на многих формах одного графа и стоит кэширования и авторизации по полям.