OIDC spiegato con Zitadel: organizzazioni, progetti, grant e audience
Chi arriva a Zitadel da Keycloak o da Auth0 sbaglia quasi sempre lo stesso passaggio: tratta l'applicazione come il confine di fiducia. Non lo è. Il confine è il progetto, e la conseguenza finisce dentro l'audience del token, dove trovi un identificativo diverso da quello che ti aspetti. Il modello mentale completo, da istanza e organizzazione fino ai grant e agli scope riservati, più il costo di accorgersi tardi di aver sbagliato i confini. Primo di tredici articoli su un'integrazione vera. Continua a leggere
Ultima modifica:
Un endpoint di ricerca senza throttling è un invito: nel mio lavoro su API Laravel ad alto traffico ho visto scraper distribuiti saturare i worker PHP-FPM restando sempre sotto soglia per singolo IP. In questa guida costruisco, passo dopo passo, una strategia di rate limiting per Laravel 12 che parte dalle tre domande giuste: chi stai contando, su quale finestra, e cosa succede a chi sfora?. 
Un Click Day è il banco di prova più crudele per un'architettura web: migliaia di utenti che premono lo stesso bottone nello stesso istante, un picco che cresce di ordini di grandezza in pochi secondi e poi svanisce. Ho analizzato da cittadino e da ingegnere un Click Day reale che ha retto senza disservizi, ricostruendone l'architettura dai log di rete. Questa è la deconstruction tecnica di come ci è riuscito e di cosa insegna a chi deve reggere un picco improvviso. 
HTTP 402 Payment Required è stato 'reserved for future use' dal 1997. Nel 2026 Cloudflare, Coinbase (x402), Lightning Labs (L402) e Google (AP2) lo hanno finalmente resuscitato per far pagare gli agenti AI che scrapano il web. Ti racconto come ho implementato il pattern nel mio laboratorio personale con Laravel 12, Symfony 7 e PHP vanilla, con numeri reali di 14 giorni di esercizio e la realtà dietro l'hype. 
Claude Code, Cursor e OpenCode mandano già Accept: text/markdown e pagano -80% sui token. Cloudflare ha lanciato 'Markdown for Agents' ma non è l'unica via: implementare la content negotiation RFC 9110 direttamente on-origin ti dà controllo totale senza dipendenze edge. Ti mostro come farlo da Laravel 12, Symfony 7 e PHP vanilla, evitando il falso cloaking di cui parla Mueller. 
Un'API Laravel che doveva gestire 1.000 richieste al secondo durante il lancio di un prodotto. Ho costruito scenari k6 realistici basati sui log di produzione precedenti: mix di endpoint, distribuzione temporale, utenti concorrenti. Il test ha trovato un query N+1 che sarebbe diventato catastrofico sotto carico. 
Ho integrato quattro gestionali italiani diversi con applicazioni Laravel: ognuno aveva una API SOAP degli anni 2000 con documentazione parziale e comportamenti non documentati. Vi racconto il pattern adapter che uso per isolare l'integrazione dal codice applicativo e come gestire le incongruenze dei dati tra sistemi. 
PHP e Node sono ottimi per la logica di dominio, ma come inference gateway per LLM sotto carico soffrono: event loop Node saturabile con chiamate lente, PHP-FPM worker-bound con decine di secondi di attesa per token streaming. Go risolve entrambi: concorrenza nativa con goroutine, latenza sub-10ms sui routing decision, gestione elegante di streaming SSE verso migliaia di client paralleli. Ti mostro l'architettura gateway Go che ho costruito come front-end unificato per modelli LLM eterogenei. 
Un sistema di webhook che invia notifiche a 200 integratori terzi non può permettersi delivery inaffidabile. Ho costruito un sistema con coda prioritaria, retry esponenziale fino a 24 ore, firma HMAC per autenticità, logging di ogni tentativo e dashboard di monitoring per gli integratori. Zero delivery perse da 9 mesi. 
API Platform genera in automatico endpoint REST completi, documentazione OpenAPI e client GraphQL da semplici annotazioni Doctrine. Ho usato questo approccio per costruire l'API di un SaaS gestionale in metà del tempo previsto. Ma ha anche i suoi limiti: vi racconto dove finisce la magia e inizia il lavoro custom.