PHP: COME FUNZIONA UN’APPLICAZIONE WEB

PHP è uno dei linguaggi più utilizzati nello sviluppo di applicazioni web lato server e continua a rappresentare una tecnologia importante per la realizzazione di gestionali, portali, CMS, API e applicazioni aziendali. Capire come funziona PHP significa però andare oltre la semplice scrittura di codice, perché dietro una pagina web esiste una catena di componenti che comprende web server, interprete PHP, database, filesystem, sessioni e protocolli di comunicazione.

Quando un utente apre una pagina PHP, il browser non riceve direttamente il codice sorgente. La richiesta viene inviata al server, il web server la indirizza al processo PHP, il codice viene eseguito e il risultato prodotto viene restituito al browser, normalmente sotto forma di HTML, JSON o altri contenuti.

Il flusso può essere rappresentato in modo semplificato:


Browser
   ?
HTTP Request
   ?
Web Server
   ?
PHP
   ?
Database / API / Filesystem
   ?
PHP Response
   ?
HTTP Response
   ?
Browser

Questa architettura rende PHP particolarmente adatto allo sviluppo di software gestionali personalizzati, perché permette di collegare l'interfaccia web alla logica applicativa e ai dati memorizzati nel database.

PHP viene eseguito sul server

Una delle caratteristiche fondamentali di PHP è l'esecuzione server-side.

Consideriamo un semplice file:



$nome = "Mario";

echo "Ciao " . $nome;

Il browser non riceverà il codice PHP. Il server esegue lo script e restituisce solamente il risultato:


Ciao Mario

Questo significa che la logica applicativa può rimanere sul server, mentre il client riceve esclusivamente la risposta necessaria.

In un'applicazione reale il processo è naturalmente molto più complesso, perché PHP può recuperare dati dal database, verificare permessi, elaborare informazioni, interagire con API esterne e costruire dinamicamente la risposta.

PHP e HTTP

Ogni applicazione web PHP comunica principalmente attraverso il protocollo HTTP o HTTPS.

Una richiesta può essere rappresentata così:


GET /clienti.php?id=125 HTTP/1.1
Host: www.example.it

Il server riceve la richiesta e PHP può recuperare il parametro:


$id = $_GET['id'];

Una versione professionale, però, dovrebbe validare il valore prima di utilizzarlo.

Ad esempio:


$id = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT);

if ($id === false || $id === null) {
    http_response_code(400);
    exit('ID non valido');
}

Questo semplice esempio mostra una differenza importante tra scrivere codice PHP che funziona e sviluppare un'applicazione PHP corretta dal punto di vista della sicurezza e della gestione degli errori.

PHP e database

Uno degli utilizzi principali di PHP consiste nel collegarsi a un database.

In un gestionale aziendale possiamo avere tabelle dedicate a clienti, preventivi, ordini, prodotti, utenti e attività. PHP rappresenta il livello applicativo che permette di leggere e modificare queste informazioni.

Con PDO possiamo creare una connessione:


$pdo = new PDO(
    'mysql:host=localhost;dbname=gestionale;charset=utf8mb4',
    $username,
    $password,
    [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
    ]
);

Una query parametrizzata può essere eseguita attraverso:


$stmt = $pdo->prepare(
    'SELECT * FROM clienti WHERE id = :id'
);

$stmt->execute([
    'id' => $id
]);

$cliente = $stmt->fetch();

L'utilizzo dei prepared statement è fondamentale perché permette di separare i dati dalla struttura della query e riduce il rischio di SQL injection.

SQL Injection e PHP

Uno degli errori più pericolosi nello sviluppo PHP consiste nel costruire query concatenando direttamente input provenienti dall'utente.

Un esempio problematico sarebbe:


$sql = "SELECT * FROM clienti WHERE email = '$email'";

Se $email contiene un input manipolato, la query potrebbe assumere una struttura non prevista.

La soluzione corretta consiste nell'utilizzare parametri:


$sql = "SELECT * FROM clienti WHERE email = :email";

$stmt = $pdo->prepare($sql);
$stmt->execute([
    'email' => $email
]);

La sicurezza non dipende quindi solamente dal firewall o dall'antivirus, ma anche da come viene scritto il codice dell'applicazione.

Sessioni PHP

Le applicazioni gestionali devono normalmente riconoscere l'utente che ha effettuato il login.

PHP mette a disposizione le sessioni:


session_start();

$_SESSION['user_id'] = $userId;
$_SESSION['ruolo'] = 'admin';

Successivamente una pagina può verificare l'autenticazione:


session_start();

if (!isset($_SESSION['user_id'])) {
    header('Location: login.php');
    exit;
}

In un gestionale reale la gestione delle sessioni dovrebbe essere accompagnata da controlli sui privilegi, scadenza della sessione, rigenerazione dell'identificatore e protezione dei cookie.

È importante inoltre distinguere autenticazione e autorizzazione. Sapere chi è l'utente non significa automaticamente che quell'utente possa eseguire qualsiasi operazione.

Ruoli e autorizzazioni

Un'applicazione aziendale può avere utenti con ruoli differenti:


superadmin
admin
agente
marketing
operatore

PHP può utilizzare queste informazioni per decidere quali funzionalità rendere disponibili.

Per esempio:


if ($_SESSION['ruolo'] !== 'admin') {
    http_response_code(403);
    exit('Accesso negato');
}

In applicazioni più complesse è preferibile centralizzare la gestione delle autorizzazioni invece di distribuire controlli differenti all'interno di centinaia di file.

Questo permette di ridurre gli errori e rendere più facilmente modificabile la politica di accesso.

PHP e architettura MVC

Quando il progetto cresce, inserire tutta la logica all'interno delle pagine PHP può diventare difficile da mantenere.

Un approccio molto diffuso è il modello MVC, composto da:

Model ? dati e logica relativa alle informazioni

View ? presentazione dei dati

Controller ? gestione delle richieste e coordinamento delle operazioni

Il concetto può essere rappresentato così:


HTTP Request
     ?
Controller
     ?
Model ? Database
     ?
View
     ?
HTTP Response

Separare responsabilità differenti permette di mantenere il codice più ordinato e facilita manutenzione, test e sviluppo di nuove funzionalità.

PHP e API REST

PHP può essere utilizzato anche per creare API REST che permettono a software differenti di comunicare.

Una richiesta potrebbe essere:


GET /api/clienti/125
Authorization: Bearer

Il server PHP può verificare il token, recuperare il cliente dal database e restituire:


{
    "id": 125,
    "nome": "Mario",
    "cognome": "Rossi"
}

Questo approccio permette di collegare un gestionale con applicazioni mobile, portali web, servizi esterni o altri sistemi aziendali.

Le API diventano particolarmente importanti quando un'azienda dispone di più applicazioni che devono condividere informazioni senza accedere direttamente allo stesso database.

PHP e JSON

JSON è uno dei formati maggiormente utilizzati per lo scambio di dati tra applicazioni.

PHP può trasformare un array in JSON:


$cliente = [
    'id' => 125,
    'nome' => 'Mario',
    'cognome' => 'Rossi'
];

header('Content-Type: application/json');

echo json_encode($cliente);

Il risultato sarà:


{
    "id": 125,
    "nome": "Mario",
    "cognome": "Rossi"
}

Questo meccanismo è alla base di moltissime applicazioni web moderne.

AJAX e PHP

Un'interfaccia web non deve necessariamente ricaricare l'intera pagina ogni volta che viene effettuata un'operazione.

JavaScript può inviare una richiesta AJAX a uno script PHP:


fetch('get_cliente.php?id=125')
    .then(response => response.json())
    .then(data => {
        console.log(data);
    });

PHP riceve la richiesta, esegue le operazioni necessarie e restituisce JSON.

Questo approccio viene utilizzato frequentemente per ricerche dinamiche, caricamento di dati, aggiornamento di tabelle, filtri e operazioni eseguite all'interno di pannelli amministrativi.

Gestione degli errori

In un'applicazione PHP professionale è fondamentale distinguere tra errori destinati agli sviluppatori e informazioni destinate agli utenti.

Durante lo sviluppo è possibile utilizzare:


error_reporting(E_ALL);
ini_set('display_errors', '1');

In produzione, invece, mostrare dettagli tecnici direttamente all'utente può rappresentare un problema di sicurezza.

È preferibile registrare gli errori nei log:


error_log('Errore durante il caricamento del cliente');

e mostrare all'utente un messaggio generico.

Un errore del database non dovrebbe quindi trasformarsi in una schermata contenente percorso dei file, query SQL, nomi delle tabelle o informazioni interne al server.

PHP e sicurezza delle password

Le password degli utenti non devono essere memorizzate in chiaro nel database.

PHP mette a disposizione funzioni specifiche:


$hash = password_hash(
    $password,
    PASSWORD_DEFAULT
);

Durante il login:


if (password_verify($password, $hash)) {
    // autenticazione riuscita
}

Il database conterrà quindi un hash e non la password originale.

Questa distinzione è fondamentale perché una compromissione del database non dovrebbe automaticamente permettere di recuperare le password degli utenti.

Upload dei file

Molti gestionali permettono agli utenti di caricare documenti, immagini e allegati.

Un upload non dovrebbe essere considerato semplicemente come:


move_uploaded_file(
    $_FILES['file']['tmp_name'],
    $destinazione
);

Prima di salvare un file è necessario verificare dimensione, tipo MIME, estensione, errori dell'upload e destinazione.

È inoltre importante evitare, quando possibile, di permettere l'esecuzione diretta di file caricati dagli utenti.

Una strategia più sicura consiste nel memorizzare i file in una posizione non direttamente eseguibile dal web server e salvare nel database solamente le informazioni necessarie per identificarli.

PHP e caching

Le prestazioni di un'applicazione PHP dipendono da numerosi fattori.

Se ogni richiesta richiede l'esecuzione completa del codice, l'accesso al database e l'elaborazione di grandi quantità di dati, il server può diventare rapidamente un collo di bottiglia.

Una componente importante è OPcache, che permette di mantenere in memoria il bytecode PHP compilato evitando di dover ricompilare continuamente gli script.

Anche il caching dei dati può essere utile, soprattutto quando informazioni identiche vengono richieste frequentemente.

In un'applicazione complessa possono essere utilizzati diversi livelli:


Browser Cache
      ?
HTTP Cache
      ?
Application Cache
      ?
OPcache
      ?
Database Cache / Buffer
      ?
Storage

Ottimizzare PHP significa quindi analizzare l'intera catena e non solamente il codice dello script.

PHP e performance del database

Molti problemi attribuiti a PHP dipendono in realtà dal database.

Una pagina può risultare lenta perché esegue una query che analizza centinaia di migliaia di record, utilizza JOIN non ottimizzate oppure non dispone degli indici necessari.

Per questo il troubleshooting dovrebbe partire dalla misurazione.

Un approccio tecnico può essere:


Richiesta HTTP
      ?
Tempo PHP
      ?
Query SQL
      ?
EXPLAIN
      ?
Indici
      ?
Numero record
      ?
Ottimizzazione

Ottimizzare una query SQL può produrre un miglioramento molto più significativo rispetto alla modifica di una piccola porzione di codice PHP.

PHP e programmazione orientata agli oggetti

PHP supporta pienamente la programmazione orientata agli oggetti.

Una classe può rappresentare, ad esempio, un cliente:


class Cliente
{
    public function __construct(
        private int $id,
        private string $nome
    ) {}

    public function getNome(): string
    {
        return $this->nome;
    }
}

In progetti complessi l'utilizzo di classi, interfacce, ereditarietà, composizione e dependency injection permette di organizzare meglio la logica applicativa.

Questo diventa particolarmente importante quando il software deve essere mantenuto e sviluppato per molti anni.

Composer e gestione delle dipendenze

Un progetto PHP moderno può utilizzare numerose librerie.

Composer permette di gestire le dipendenze del progetto attraverso un file composer.json.

Un esempio semplificato:


{
    "require": {
        "monolog/monolog": "^3.0"
    }
}

Composer installa le librerie necessarie e permette di mantenere le versioni sotto controllo.

Questo sistema facilita inoltre l'utilizzo dell'autoloading:


require __DIR__ . '/vendor/autoload.php';

In questo modo non è necessario includere manualmente ogni classe utilizzata dall'applicazione.

PHP e Docker

PHP può essere eseguito anche all'interno di container Docker.

Una configurazione può comprendere:


Nginx
   ?
PHP-FPM
   ?
MySQL

Ogni componente può essere eseguito in un ambiente separato.

Questo permette di rendere più riproducibile l'ambiente di sviluppo e ridurre le differenze tra macchina dello sviluppatore, ambiente di test e produzione.

Per applicazioni aziendali più complesse, la containerizzazione può inoltre facilitare procedure di deployment e aggiornamento.

PHP-FPM e web server

In un ambiente Linux è comune utilizzare PHP-FPM insieme a Nginx o Apache.

Il flusso può essere:


Client
  ?
Nginx
  ?
PHP-FPM
  ?
PHP Worker
  ?
Database

PHP-FPM gestisce un insieme di processi worker che eseguono gli script PHP.

La configurazione del numero di worker, dei timeout e delle risorse disponibili può influenzare direttamente le prestazioni dell'applicazione.

Un server con pochi worker può creare code durante un aumento delle richieste, mentre una configurazione eccessivamente aggressiva può consumare troppa RAM.

PHP non significa soltanto "pagine web"

PHP può essere utilizzato per realizzare applicazioni molto diverse tra loro: gestionali, API, portali, sistemi di prenotazione, e-commerce, dashboard, piattaforme interne e sistemi di automazione.

Il vero valore non sta quindi semplicemente nel linguaggio, ma nell'architettura costruita intorno ad esso.

Un'applicazione PHP professionale deve integrare correttamente codice, database, sicurezza, autenticazione, API, logging, caching, gestione degli errori e infrastruttura server.

PHP nello sviluppo di software aziendali

Per un'azienda che necessita di un software personalizzato, PHP può rappresentare una soluzione efficace quando viene utilizzato all'interno di un'architettura progettata correttamente.

In ALLIT utilizziamo tecnologie web e database per sviluppare applicazioni in grado di adattarsi ai processi specifici dell'azienda, collegando interfaccia, logica applicativa, database e servizi esterni.

Un gestionale personalizzato può, ad esempio, integrare anagrafiche clienti, preventivi, ordini, documenti, report, sistemi di autenticazione, API e automazioni all'interno di un'unica piattaforma.

La parte più importante non è quindi scegliere PHP semplicemente perché è un linguaggio conosciuto, ma progettare correttamente l'intera infrastruttura software, partendo dalle esigenze dell'azienda e arrivando alla gestione dei dati e alla sicurezza dell'applicazione