PHP: co to je a k čemu slouží

Zákazník otevře adresu /api/orders/{orderUuid}. Aplikace z důvěryhodně určené identity zjistí, kdo požadavek poslal, a podle veřejného UUID načte jen objednávku, ke které má zákazník přístup. Teprve potom sestaví JSON odpověď; nevrací databázový záznam bez kontroly přímo do prohlížeče.

Ukázka záměrně zachycuje jen HTTP vrstvu. V reálné aplikaci se načtení objednávky a kontrola přístupu opírají o aplikační službu, která zná pravidla systému. Pro cizí i neexistující objednávku má vrátit stejný bezpečný výsledek, aby API neprozradilo její existenci. Důležité je pořadí: nejdřív identita a oprávnění, potom data a až nakonec odpověď.

PHP

public function detail(
    string $orderUuid,
    CurrentUser $currentUser,
    OrderService $orders,
): JsonResponse {
    $order = $orders->getForCustomer(
        orderUuid: $orderUuid,
        customerId: $currentUser->id(),
    );

    return new JsonResponse([
        'uuid' => $order->uuid()->toString(),
        'status' => $order->status(),
    ]);
}