Разработчикам

• Laravel 13основа — без своего «ядра с хуками»
• PHP 8.5минимальная версия
• 25модулей в поставке, каждый — отдельная папка
• 5видов кирпичей: платформа, тема, шаблон, модуль, язык

Архитектура

Ядро и кирпичи#

Контроллеры, модели, миграции и вьюхи лежат там, где их ищет любой Laravel-разработчик. Разобраться здесь дешевле, чем в системе с собственными правилами на каждый случай.

Это правило сторожит отдельный тест: если ядро где-то обратится к модулю напрямую, снятие модуля уронит страницу — и тест упадёт раньше, чем это увидит покупатель.

Модуль изнутри

Модуль — это папка, а не магия#

Каждый раздел живёт в modules/<Имя>/, и всё, что ему нужно, лежит рядом.

• module.jsonИмя, версия, приоритет загрузки, зависимости requires и список провайдеров.
• Routes/web.phpМаршруты подключаются сами, но только у включённого модуля.
• Views/Вьюхи в пространстве имён модуля: view('Имя::…').
• Lang/Словари модуля, тоже под его именем: __('Имя::файл.ключ').
• Controllers, Models, ServicesОбычные классы Laravel в пространстве Modules\Имя.
• Providers/Обычный сервис-провайдер Laravel. Никаких чужих точек расширения.

Каркас создаёт одна команда, а модуль появится в разделе «Модули» сам — система сверяет папки с таблицей модулей при запуске.

php artisan make:module Portfolio

# modules/Portfolio/module.json
{
    "name": "Portfolio",
    "title": "Portfolio",
    "version": "1.0.0",
    "active": true,
    "priority": 50,
    "description": "Модуль Portfolio",
    "providers": [
        "Modules\\Portfolio\\Providers\\PortfolioServiceProvider"
    ]
}

Важно. Миграции модуля кладите в общую database/migrations/. В папке модуля миграция молча не выполнится. Выключенный модуль не грузится совсем — ни маршрутов, ни провайдеров, — а его таблицы остаются в базе и вернутся вместе с ним.

Шаблон материала

Новая витрина — два файла#

Шаблон решает, как выглядит материал: лента, товар, услуга клиники, урок. Чтобы добавить свой, не нужно трогать ни контроллер, ни базу.

1. Вьюха. resources/views/frontend/templates/<ключ>.blade.php — как выглядит материал.
2. Карточка. Рядом <ключ>.json: название, версия, описание, категория и рекомендованные модули.
3. Готово. Реестр шаблонов находит карточку сам — шаблон появляется в форме материала. Удалили файлы — пропал из списка, без висящих записей в базе.

# resources/views/frontend/templates/clinic.json
{
    "template": "clinic",
    "version": "1.3.0",
    "title": "Клиника",
    "description": "Медцентры и частные практики: приёмы, врачи, цены",
    "category": "commerce",
    "recommends": [
        "Forms",
        "Comments"
    ]
}

Маркет и консоль

Две равные двери#

Всё, что владелец делает кнопкой в Маркете, разработчик делает командой — с тем же результатом и теми же проверками. Виды: theme, template, module, language.

php artisan market:list module --installed
php artisan market:install theme graphite
php artisan market:install template clinic --with=Forms --with=Comments
php artisan market:remove module Comments
php artisan market:remove template clinic --with-data
php artisan updates:apply --release=3.10.41        # только план
php artisan updates:apply --release=3.10.41 --yes  # установить

Поставки и подпись

Обновление — сравнение двух описей, а не копирование поверх#

Канал обновлений — это канал исполнения кода сразу на всех сайтах покупателей. Поэтому он устроен строже, чем обычно.

Проверок перед установкой две. Совместимость — карта: она гасит кнопку ещё до скачивания, если не хватает PHP, нужного модуля, места или прав на запись. Настоящий заслон — проверка по подписанной описи уже скачанной поставки с тремя исходами: отказ, предупреждение, порядок. Пустой открытый ключ не разрешает обновления без проверки, а запрещает их.

# так собирается каждая поставка: платформа, шаблон, тема, язык
php artisan release:build 3.10.41 --severity=feature --notes="..."
php artisan release:template clinic 1.3.0
php artisan release:theme graphite
php artisan release:language en 3.10.41
php artisan market:publish nexum-core-3.10.41.zip

Границы обновления

Чего обновление не коснётся#

Безопасность в коде

Защита, которую не нужно включать#

Включено с первой установки#

Большая часть рубежей стоит в самом коде и работает без настройки.

• Выполняется только index.php. public/.htaccess не даст запустить подброшенный PHP-файл.
• PHP в содержимом выключен. Включается только явным CONTENT_PHP=true в .env.
• Сторож целостности. Раз в час сверяет описи платформы, модулей, шаблонов и языков и ищет посторонний PHP; о находке сообщает один раз — в журнал безопасности и письмом администраторам.
• Автономный режим. Запрет исходящих запросов стоит на самом сетевом клиенте, а не в каждом сервисе по отдельности.
• Строка PHP в сводке. Панель смотрит ветку PHP и журнал пакета Debian или Ubuntu — видно, закрыта ли уязвимость, даже если номер версии старый.

Соглашения

Правила, по которым написан код#

Их немного, и за каждым — грабли, на которые уже наступали.

• Только PostgreSQL. С другим драйвером приложение не запустится и скажет почему. Тесты идут на SQLite, поэтому миграции пишутся построителем схемы, без сырого SQL.
• Строки интерфейса — только через словари resources/lang/ru и en с одинаковыми ключами; расхождения ловит lang:check.
• Комментарии не доходят до браузера. Служебные пояснения вырезаются при компиляции Blade.
• Скрипты в браузере — только с латинскими именами.
• Правите модуль или шаблон — поднимите версию в module.json или карточке шаблона: исправление — третья цифра, новое — вторая.
• Компонент модуля в ядре выводится только через <x-dynamic-component> с проверкой, что модуль стоит.

Вопросы

Что спрашивают разработчики#