Ядро фреймворка

Фреймворк не «ускоряет разработку» абстрактно — он берёт на себя один конкретный цикл: превращение HTTP-запроса в HTTP-ответ. Между байтами на сокете и отданным ответом стоит конвейер, и он один и тот же в Laravel и в Symfony. Ядро собирает объект запроса и прогоняет его через слои middleware. Маршрутизатор по паре «глагол + путь» выбирает действие контроллера. Контейнер читает тайп-хинты конструктора и рекурсивно собирает и сам контроллер, и всё, что тому нужно. Действие координирует работу — валидирует ввод, спрашивает у моделей данные, проверяет права — и отдаёт результат шаблонизатору. Знать фреймворк — значит уметь назвать, что происходит на каждом из этих шагов, и понимать, куда именно вы можете в конвейер вклиниться.

Почти каждая ловушка темы растёт из того, что какой-то шаг конвейера считают магией. Контейнер ничего не «угадывает»: он резолвит тайп-хинт рефлексией, а на интерфейсе с двумя реализациями падает громко — и это правильное поведение, а не баг. Cache::get() не статический метод: за ним стоит __callStatic и контейнер, а платите вы тем, что настоящие зависимости класса исчезают из конструктора. Middleware — не набор хуков, а конвейер декораторов, где порядок слоёв несёт смысл. Скомпилированный Blade-шаблон — обычный PHP без всякой песочницы, поэтому {!! !!} вокруг пользовательского текста — это готовая XSS. JWT подписан, но не зашифрован, и отозвать его до истечения нечем. А залогиненный пользователь — ещё не пользователь, которому что-то разрешено. Разбор по слоям — ниже.

Карта темы

• MVC на запросе — как маршрутизатор, контроллер, модель и представление делят между собой один запрос и почему контроллер обязан остаться тонким.
• Маршрутизация и контроллеры — как пара «глагол + путь» выбирает действие, что генерирует ресурсный контроллер и почему атрибуты #[Route] компилируются в таблицу маршрутов.
• Сервис-контейнер и автовайринг — как контейнер собирает граф зависимостей рефлексией, почему он громко падает на неоднозначном интерфейсе и что на самом деле прячет фасад.
• Middleware и события — конвейер декораторов с $next, семантика порядка слоёв, слушатели ядра Symfony и цена неявного потока управления.
• Шаблонизаторы Blade и Twig — почему скомпилированный Blade — это обычный PHP, чем {{ }} отличается от {!! !!} и как Twig навязывает дисциплину экранирования.
• Валидация входных данных — как FormRequest отрабатывает до тела действия, почему провал бросает исключение и чем от этого отличается валидатор Symfony.
• Аутентификация API — состояние на сервере против самодостаточного JWT, проблема отзыва и выбор между Sanctum и Passport.
• Авторизация — политики и голосующие — чем «кто вы» отличается от «можно ли вам», почему authorize() бросает исключение и как стратегия голосования решает исход в Symfony.

Частые ошибки и ловушки

Значение для собеседований

Ядро фреймворка спрашивают на любой позиции, но проверяют не знание API. Проверяют, можете ли вы провести запрос через весь конвейер вслух: кто собрал объект запроса, в каком порядке отработали слои, кто и по какому признаку выбрал действие, откуда у контроллера взялись зависимости, где произошла валидация и где — проверка прав. Кандидат, который говорит «контейнер читает тайп-хинты конструктора рефлексией и рекурсивно строит граф, а на интерфейсе с двумя реализациями бросает исключение», сразу отделяется от того, кто отвечает «Laravel сам всё подставляет».

Что обычно проверяют:

• Роли MVC на конкретном запросе и почему бизнес-логике не место в действии.
• Что именно выбирает действие — и что генерирует Route::resource / apiResource.
• Как автовайринг резолвит зависимость и что происходит при двух реализациях интерфейса.
• Разницу register() и boot() в сервис-провайдере.
• Что такое фасад под капотом и в чём его честная критика.
• Механику middleware — $next, короткое замыкание, семантику порядка — и чем от него отличается слушатель ядра Symfony.
• Чем Blade отличается от Twig в том, что вообще позволено шаблону.
• Что делает FormRequest до тела действия и что происходит при провале валидации.
• Отзыв доступа: сессия против JWT; когда Sanctum, а когда Passport.
• Разницу аутентификации и авторизации; политики против голосующих и стратегию решения.

Типичный неверный ответ: «Контейнер сам находит нужную реализацию, а если их несколько — берёт первую». Отсюда обычно и разворачивается разговор: контейнер не выбирает за вас никогда, он бросает исключение, и в Symfony оно прилетает на прогреве кэша, то есть на деплое, а не на живом трафике. Второй классический провал — «authorize() вернёт false, я проверю его в if»: он не возвращает false, он бросает AuthorizationException, которая превращается в 403, и тело действия после отказа не выполняется вовсе.