bazaar

Большие PHP-фреймворки делают за вас массу вещей, включая безопасность. bazaar намеренно от них отказывается: микрофреймворк, написанный с нуля, означает, что вы сами стережете сессии, сами строите запросы и сами отвечаете за то, чтобы данные клиента не утекли. Нет слоя, который тихо латает ваши недосмотры.

Это проект о дисциплине, а не о функциях. Магазин делает ровно то, чего вы ждете от магазина, но вся его ценность в том, что каждая точка соприкосновения с пользователем и базой - это граница, которую нужно стеречь вручную и осознанно.

Когда вы убираете фреймворк, вместе с ним исчезает и страховочная сетка, которая обычно есть в конфигурации по умолчанию. Экранирование, защита сессий, привязка параметров в запросах - все это больше не бесплатно. bazaar относится к этому как к уроку: чтобы написать безопасный магазин на голом PHP, нужно понимать каждую угрозу, от которой фреймворк обычно вас заслоняет.

Дисциплина здесь освежает, потому что нет места, где спрятать срезанный угол. Если вы где-то склеили запрос из строк или доверились данным из формы, это видно сразу, и ответственность однозначно ваша.

Ключ в шагах два и три. Корзина живет на стороне сервера, поэтому цены и количества - это не то, что пришло из браузера, а то, что решил сам магазин. Оплата идет в Stripe, поэтому номер карты никогда не проходит через наш код, что убирает из системы самый опасный кусок ответственности.

Любой ввод извне считается враждебным, пока не будет привязан к параметру или экранирован. Это не паранойя, а единственный способ, которым магазин без сетки фреймворка может быть безопасным.

Результат - не магазин, богаче функциями, чем те, что на Laravel, а магазин, безопасность которого вы понимаете до конца, потому что построили ее сами. Каждая граница явная, каждый запрос параметризован, а самый чувствительный элемент, данные карты, вообще не живет в нашей системе.