Middleware

Middleware — PSR-15 шар між маршрутизацією та handler: фільтрує запит, додає контекст, перехоплює винятки або змінює відповідь. Concept Core використовує Psr\Http\Server\MiddlewareInterface і League Route lazyMiddleware().

Middleware — не те саме, що route interceptors: interceptors спрацьовують у RouteStrategy після middleware, до виклику handler, і не формують PSR-15 ланцюжок.

Див. також: життєвий цикл → middleware, реєстрація на маршрутах.

Контракт PSR-15

<?php declare(strict_types=1);

namespace Concept\App\Http\Middlewares;

use Psr\Http\Message\ResponseInterface;
use Psr\Http\Message\ServerRequestInterface;
use Psr\Http\Server\MiddlewareInterface;
use Psr\Http\Server\RequestHandlerInterface;

final class ExampleMiddleware implements MiddlewareInterface
{
    public function process(
        ServerRequestInterface $request,
        RequestHandlerInterface $handler
    ): ResponseInterface {
        // До handler: перевірки, зміна $request

        $response = $handler->handle($request);

        // Після handler: заголовки, логування

        return $response;
    }
}

Клас реєструється в контейнері; League Route створює екземпляр через DI при lazyMiddleware(MyMiddleware::class) — залежності конструктора підставляються автоматично (ReflectionContainer).

Де підключати

• Глобально — на початку routes/web.php (усі маршрути файлу).
• Група — $router->group(...)->lazyMiddleware(...).
• Один маршрут — ланцюжок після get() / post().
• Компонент — у Component/routes.php (наприклад AuthMiddleware на групі /admin).

Порядок реєстрації визначає порядок обгортання: перший доданий middleware — зовнішній шар (виконується першим на вході). Мінімальний skeleton не підключає глобальний стек;

Middleware ядра

Класи в Concept\Core\Http\Middlewares:

Типовий глобальний стек

$router->lazyMiddleware(HandleValidationExceptionMiddleware::class);
$router->lazyMiddleware(VerifyCsrfTokenMiddleware::class);
$router->lazyMiddleware(StorePreviousUrlMiddleware::class);
$router->lazyMiddleware(ShareViewDataMiddleware::class);

1. Зовнішній try/catch валідації (обгортає весь ланцюжок)
2. Перевірка CSRF до зміни стану
3. Фіксація URL перед рендером
4. Підготовка shared-даних для Twig (ViewResponseFactory)

CSRF

Токен зберігається в сесії під ключем SessionKey::CSRF_TOKEN (_csrf_token) через CsrfTokenManager. У формах — поле _csrf_token; для AJAX — заголовки X-CSRF-TOKEN або X-XSRF-TOKEN (константи HttpHeader).

<input type="hidden" name="_csrf_token" value="{{ csrf_token }}">

У Twig змінна csrf_token (ViewKey::CSRF_TOKEN) потрапляє через ShareViewDataMiddleware → ViewResponseFactory::create(). Детальніше — Захист CSRF.

Middleware авторизації

У застосунку — власні класи на групах маршрутів:

• AuthMiddleware (AuthAdmin) — сесія, роль admin, статус ACTIVE; redirect на /admin/login
• ActiveUserMiddleware (UserCabinet) — авторизація, статуси pending/blocked; redirectByName('cabinet.login')

$router->group('/admin', function (RouteGroup $route) {
    // ...
})->lazyMiddleware(AuthMiddleware::class);

$router->group('/cabinet', function (RouteGroup $route) {
    // ...
})->lazyMiddleware(ActiveUserMiddleware::class);

При відмові контролер не виконується — middleware повертає redirect-відповідь.

Атрибути запиту

Middleware передає дані далі через $request->withAttribute():

Ключі всередині VIEW_PAYLOAD (ViewKey): errors, old, flashes, csrf_token.

ResponseFactory::back() спочатку перевіряє заголовок Referer, потім SAFE_BACK_URL, і лише внутрішні URL (див. безпечні редіректи).

Власний middleware

1. Створіть клас з MiddlewareInterface (наприклад у src/App/Middlewares/ або в компоненті).
2. Залежності — через конструктор (контейнер підставить автоматично).
3. Підключіть lazyMiddleware() глобально, на групу або маршрут.
4. Перевірте порядок відносно CSRF, auth і HandleValidationExceptionMiddleware.

Перегляд middleware

php bin/console.php route:list
php bin/console.php route:list --full-middleware
php bin/console.php route:list -F

Колонка middleware показує глобальні та локальні класи для кожного маршруту.