Laravel Sanctum e Passport: scegliere l'autenticazione API giusta per una PMI
Sanctum o Passport non è una questione di moda ma di requisiti. Le differenze reali tra i due approcci all'autenticazione API in Laravel: token semplici contro OAuth completo, casi d'uso tipici, sicurezza e gestione dei token, e quando l'uno è over-engineering rispetto all'altro. Guida decisionale per una PMI che espone API a un'app mobile o a partner B2B, senza scegliere la soluzione più complessa per default. Continua a leggere
Ultima modifica:
Le query N+1 non rompono nulla in sviluppo e affondano la produzione: un gestionale con molte relazioni le genera senza accorgersene. Come individuarle con gli strumenti giusti, l'eager loading fatto bene, e i pattern Eloquent avanzati per tenere il numero di query sotto controllo anche con relazioni annidate. Esempi da gestionali reali, dove una lista innocua generava centinaia di query a ogni caricamento. 
Saltare da Laravel 9 a 12 non è un singolo upgrade ma una sequenza, e il lavoro vero spesso non è nel framework ma nel salto della versione PHP minima richiesta. Guida pratica per la produzione: i breaking changes che contano versione per versione, cosa testare prima del deploy, e perché zero breaking changes dichiarati non significa zero differenze comportamentali. Strategia incrementale da un'applicazione reale. 
Un LLM addestrato su documentazione datata genera codice per la versione sbagliata del framework: è la classica allucinazione di versione. Context7 risolve il problema iniettando in contesto la documentazione esatta della versione in uso. Come funziona, con un esempio concreto su un upgrade Laravel dove il modello, senza la doc giusta, avrebbe proposto API rimosse. Pratico e SEO-friendly, lega il tema caldo Laravel 13 all'ecosistema degli strumenti AI. 
Un identity provider sa chi sei e non sa niente di cosa puoi fare, perché i permessi veri dipendono da contratti, anagrafiche e stati che vivono nel tuo gestionale. Il pattern che ne esce è un monolite Laravel che diventa resource server e autorità di autorizzazione per le altre applicazioni, senza account di servizio e senza duplicare una riga di logica. Il middleware, la risoluzione deterministica dell'identità e il punto in cui quasi tutti sbagliano. 
"Laravel è la scelta migliore" è il tipo di affermazione di cui diffido, perché nessuno strumento è il migliore per tutto. Eppure, quando un cliente mi chiede su cosa costruire una nuova applicazione web aziendale, nella maggioranza dei casi la mia risposta è Laravel, e non per moda: è una scelta di ingegneria, fondata su velocità di sviluppo, manutenibilità ed ecosistema. Vediamo perché lo scelgo, cosa lo distingue nel 2026, e quando invece consiglio altro. 
Le password sono il problema più antico della sicurezza web. In una piattaforma Laravel B2B ho implementato autenticazione via passkey (WebAuthn) come alternativa principale e magic link come fallback. Il tasso di supporto dei browser moderni è abbastanza alto da rendere l'approccio pratico in produzione. Vi mostro l'implementazione. 
Dopo aver migrato tre applicazioni enterprise da Vue 2 Options API a Vue 3 Composition API + TypeScript, ho catalogato i pattern che funzionano in produzione e quelli che sembrano buoni online ma si rivelano problematici a scala. Vi mostro le strutture di composable, store Pinia e i tipi per le API Laravel. 
Un batch notturno di fatturazione che falliva silenziosamente una volta ogni tre giorni senza che nessuno lo scoprisse fino ai reclami dei clienti. Ho ristrutturato il sistema con Laravel Horizon, code prioritarie, dead letter queue e alert Slack automatici per ogni job fallito. Zero incidenti silenziosi da sei mesi. 
Le N+1 query Eloquent sono il killer silenzioso dei gestionali Laravel: invisibili al code review umano, devastanti sotto carico. Nella mia pipeline personale ho costruito un detector basato su LLM che correla analisi statica del codice con pattern nei query log di produzione: identifica le N+1 reali (non i falsi positivi che PHPStan fa scattare), le prioritizza per impatto misurato sul carico DB, e apre pull request mirate con la correzione. Il metodo che uso su codebase legacy di 10+ anni.