[译] 如何创建你自己的 PHP 框架

平常在开发工作里，重复早轮子的机会其实不很多。今天去SegmentFault论坛看到时候，翻到了以前的一个帖子，说的是如何写自己的PHP框架。意见不一。但是有幸看到了Symphony作者写的一个系列博文：How to create your own PHP framework，先动手翻译看看(原文已经整理在Symphony官网)。

介绍

Symphony是一个解决常见web开发问题的框架，它由一系列可复用的独立，解耦，并具有内在联系的PHP组件构成。

与其选择使用较为底层的组件，你可以使用已经完备的全栈式web框架Symphony，或者，你也可以自己造一个。这个系列教程就是告诉你如何建造自己的框架。

你为什么要建造自己的框架？

为什么把建造自己的框架放在第一位呢？如果你看看周围，每个人都会告诉你重复造轮子是个坏主意，因为你可以选择现成的，更好的框架。大多数时候，他们确实是对的。但是一下几点可以告诉你，为什么你要自己造轮子：

为了学习流行web框架中更底层的知识，尤其是与Symphony框架相关的；
为了满足你特定的需求而定制框架（前提是你必须非常清楚你的需求）；
仅仅为了好玩而学习；
为了重构很久以前的框架，融入流行框架的设计思想；
为了向别人炫耀你可以的！

这个教程会一步一步教你如何构造框架，每一步你都会得到一个投入使用的框架，你可以用它作为自己最初的起点。慢慢的，它会从一个简单框架变为具有多种特性的框架，最终你将获得一个全功能的完备web框架。

如果没有足够的时间读完整个教程，你看一看 Slix 可以快速上手，这是一个基于Symphony的微型框架。代码非常简洁，考量了许多Symphony本身的组件

许多流行web框架将他们描述为MVC框架，这篇教程不会告诉你MVC设计模式，因为Symphony组件可以满足各种设计模式，而不仅仅是MCV，当然了，如果你看一看MVC语义，这本书会告诉你如何构造MVC当中的Controller。至于Model还有View，这要看你个人口味，而且你可以使用第三方库来满足需求（Doctrine，Propel 或者 plain－old PDO 来完成Model；PHP 或者 Twig 来完成View）。

当决定构造一个框架的时候，按照MVC的设计模式来未必是一个正确的目标。最为正确的目标应该是Separation of Concerns（需求的分离），这可能是唯一一个你需要关心的设计模式。Symphony的基础概念关注点在HTTP的定义上。所以说，你将要打造的框架应该更加准确的定义为HTTP框架或者说响应／请求框架。

正式开始之前

仅仅阅读如何构造框架是不够的。你需要自己动手尝试教程里的每一个例子。当然，你需要一个PHP环境（5.3.9或者更新），一个web服务器（比如Apache，Nginx，或者PHP自建的web服务器），了解PHP基本知识以及面向对象编程。

准备好了么，开始吧！

Bootstrapping 启动

在你开始构思你的框架之前，你需要想一想一些conventions（惯例）：你的代码将存贮子在哪里？怎么命名你的class（类），怎么引用外部依赖包，等等

我们将新建一个目录，来存放你的代码：

$ mkdir framework
$ cd framework

Dependency Management 依赖管理

为了安装Symfony组件，你将使用Composer，一个依赖包管理工具。如果你还没有安装。点击这里下载。

我们的项目

这里，我们没有从0开始构建（from the scratch），我们将不断的重写“应用”，每一次加入一些抽象的成分。我们先从写一个最简单的web应用开始：

// framework/index.php
$input = $_GET['name'];
printf('Hello %s', $input);

如果你使用PHP 5.4，你可以使用PHP自建的服务器来运行这个应用，地址是http://localhost:4321/index.php?name=Fabien。否则，你需要用到Apache后者Nginx其他web服务器。

$ php -S 127.0.0.1:4321

下一章，我们将介绍HttpFoundation组件。

HttpFoundation 组件

在开始之前，我们回过头来想想为什么你需要一个PHP框架而不是纯PHP应用（plain-old)。为什么使用框架，甚至使用最简单的代码片段(code snippet)是一个好主意。还有为什么创造一个基于Symphony组建的框架要好于从零开始搭框架。

我们不谈论仅仅需要几个程序员，就可以利用框架创造大型应用的传统好处。互联网上已经有很多丰富的资源。

尽管我们前一章写的小应用已经足够简单，它仍然有很多问题：

// framework/index.php
$input = $_GET['name'];
printf('Hello %s', $input);

第一点，如果name参数没有在URL里面定义，你会得到一个PHP warning，我们这样解决：

// framework/index.php
$input = isset($_GET['name']) ? $_GET['name'] : 'World';
printf('Hello %s', $input);

但是，这样的应用依然是不安全的，因为即使是这样一个简单的PHP代码片段在面对世界上范围最广的安全威胁XSS（Cross0Site Scripting) 跨站攻击面前，也是脆弱的。这里有一个更安全的版本：

$input = isset($_GET['name']) ? $_GET['name'] : 'World’;
header('Content-Type: text/html; charset=utf-8');
printf('Hello %s', htmlspecialchars($input, ENT_QUOTES, 'UTF-8'));

你可能已经注意到了，使用 htmlsepcialchars
乏味而且容易出错(tedious and error prone)。这就是为什么要使用类似Twig模板引擎的原因了。它可以默认autoescatping，使用准确的escaping要比使用一个简单的escaping过滤要更好

正如你所见的，假如我们要考虑避免PHP warning/notices 还有让代码更安全的话，我们所写的代码已经不是最简单的了。

更进一步说，代码甚至已经不能被简单的测试了。就算没有太多可以测试的地方，针对这种最简单的代码片段使用单元测试是一种不自然的，感觉不漂亮到方式。这里我们写了一个试探性的PHPUnit 单元测试：

// framework/test.php
class IndexTest extends \PHPUnit_Framework_TestCase
{
    public function testHello()
    {
        $_GET['name'] = 'Fabien';
        ob_start();
        include 'index.php';
        $content = ob_get_clean();
        $this->assertEquals('Hello Fabien', $content);
}

如果我们的应用稍微复杂，我们可能会遇到更多的问题。如果你对此表示好奇，可以阅读Symphony versus Flat PHP的文档。
如果到了这一步，你还对使用框架来构建项目不放心的话（安全和测试是使用框架最好的理由），那么你可以回去写自己的代码了。
当然，使用框架不仅仅是为了更好的测试和安全性，更重要的是要记住使用框架可以让开发更快速。

使用HttpFoundation组建来面向对象

写web应用就是和HTTP协议打交道。所以，框架的核心应该是围绕HTTP的规范。
HTTP 规范描述了客户端（比如浏览器）如何与服务端（web服务器）进行交互。严格规范的消息（well defined message)，请求和响应，构成了客户端与服务器之间的对话：客户端发送请求到服务器，服务器返回一个响应。

在PHP中，请求通过全局变量（$_GET, $_POST, $_FILE, $_COOKIE, $_SESSION）来获得，响应通过方法（echo, header, setcookie）来实现。

写出优美代码的第一步就是使用面向对象的理念，即通过Symphony HttpFoundation组件来取代默认的PHP全局变量和方法。

在使用这个组件之前，我们需要添加组件的依赖：

$ composer require symfony/http-foundation

运行这个命令将自动下载Symphony HttpFoundation组件，并且将他安装在当前目录下的vendor/目录下。同时也产生了composer.json和composer.lock文件，包含了如下内容：

{
    "require": {
        "symfony/http-foundation": "^2.7"
    }
}

上面的代码展示了composer.json的内容。

Class Autoloading 类的自动加载

当安装一个新的依赖时，Composer也会自动生成一个vendor/autoloadphp
文件，让类能够自动加载 autoloaded。没有自动加载，你需要在使用这个类之前，require这个类文件。但是由于PSR-0，我们可以使用Composer来让PHP完成繁碎的工作。

现在，我们利用 Request类和 Response类重写应用：

// framework/index.php
require_once __DIR__.'/vendor/autoload.php';
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;

$request = Request::createFromGlobals();
$input = $request->get('name', 'World');
$response = new Response(sprintf('Hello %s', htmlspecialchars($input, ENT_QUOTES, 'UTF-8')));
$response->send();

createFromGlobals()方法创建了一个基于当前PHP全局变量的Request对象。

send()方法发送一个Response()对象返回客户端（在返回内容之后，返回HTTP header）。

在调用send()之前，我们需要再调用prepare()方法（$response->prepare($request)）来保证我们的响应是符合HTTP规范的。例如，如果我们使用HEAD方法，这将会移除响应的内容

这里使用组件的最主要区别就是你对HTTP 消息有足够的掌控权，你可以根据需求创造任意的请求和响应。

我们没有明确设置Content-Type头部，因为默认情况下，响应的头部就是UTF-8格式

通过Request请求类，利用简单精巧的API，你可以获取任意请求的消息。

// the URI being requested (e.g. /about) minus any query parameters
$request->getPathInfo();

// retrieve GET and POST variables respectively
$request->query->get('foo');
$request->request->get('bar', 'default value if bar does not exist');

// retrieve SERVER variables
$request->server->get('HTTP_HOST');

// retrieves an instance of UploadedFile identified by foo
$request->files->get('foo');

// retrieve a COOKIE value
$request->cookies->get('PHPSESSID');

// retrieve an HTTP request header, with normalized, lowercase keys
$request->headers->get('host');
$request->headers->get('content_type');

$request->getMethod();    // GET, POST, PUT, DELETE, HEAD
$request->getLanguages(); // an array of languages the client accepts

你也可以模拟一个请求：

$request = Request::create('/index.php?name=Fabian');

通过 Response 类，你可以生成一个响应(Response):

$response = new Response();
$response->setContent('Hello world!');
$response->setStatusCode(200);
$response->headers->set('Content-Type', 'text/html');

// configure the HTTP cache headers
$response->setMaxAge(10);

如果要debug一个响应，把它转化成一个string，它会返回Http协议形式的header和content.

最后，以上的这些Sympony当中的类，他们的安全性是得到了第三方独立公司的审查(audit)的。作为开源软件，Symphony的源码接受了来自世界各地的开发者的贡献和完善（对于潜在的安全性问题）。你最后一次对你创建的框架进行安全审查，是在什么时候？
甚至简单到获取客户端的ip地址都可以变得不安全：

if ($myIp == $_SERVER['REMOTE_ADDR']) {
    // the client is a known one, so give it some more privilege
}

上面的代码已经很好了，除非你在生产服务器的上一层加了逆向代理（reverse proxy）。如果是这样，你需要编辑代码满足同时在开发环境（没有代理的环境）以及远程的生产环境的正常使用。

使用Request::getClientIp() 从一开始就会让你好很多（它涵盖了上面的情况）：

$request = Request::createFromGlobals();
if ($myIp == $request->getClientIp()) {
    // the client is a known one, so give it some more privilege
}

同时他还有一个好处，它自身就很安全。这里的意思就是说，$_SERVER[‘HTTP_X_FORWARDED_FOR’] 这个获取得到的值是不能被信任打，因为在实际情况中，当没有代理的时候它可以被用户篡改。所以，如果你在生产环境中没有使用代理，它既容易被系统拒绝处理（因为_SERVER[‘HTTP_X_FORWARDED_FOR’] 被篡改）。如果使用 getClientIp()
就不会有这种情况，因为你需要使用之前明确使用 setTrustedProxies():

Request::setTrustedProxies(array('10.0.0.1'));
if ($myIp == $request->getClientIp(true)) {
    // the client is a known one, so give it some more privilege
}

所以，getClientIp() 方法适用于各种情况。你可以在所有的项目当中使用它，不管你的服务器配置如何，代码都可以安全正确的运行。

其实这就是使用模版的好处了，如果你从头开始写模版，你必须要考虑类似的所有情况。那你为什么不利用已经写好的服务呢？

如果你想了解更多关于 HttpFoundation Component
, 你可以查阅 HttpFoundation 的API，或者阅读完备的文档。

到这里，我们已经写了我们第一个框架了，如果你不想再深入下去也可以。单单使用 Symphony HttpFoundation 组件以及让你可以写出更好，更易于测试的代码了。它也帮你处理了很多开发过程中遇到过的历史问题。

事实上，类似 Drupal 的项目已经适配 HttpFoundation 组件来为他们所用，这也同样对你适用。不要重复造轮子。

我忘记告诉你了，学会使用 Symphony HttpFoundation 组件还有一个好处，由于它在目前主流框架中的流行（Sympony, Drupal 8, phpBB 4, ezPublish 5, Laravel, Silex, 还有其他），这些框架内部操作性会更好。上手会更快。

前端控制器 The Front Controller

到目前为止，我们的应用就是简单的单页面，我们通过新建一个页面，让事情变得更有趣。

// framework/bye.php
require_once __DIR__.'/vendor/autoload.php';

use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
$request = Request::createFromGlobals();
$response = new Response('Goodbye!');
$response->send();

正如你所看到的，大多数代码和第一页是一样的。我们这里提炼出通用的代码，这样可以在不同的页面间使用。代码的共享听起来似乎是一个构件框架的不错的计划。

PHP风格的重构有点像下面的文件：

// framework/init.php
require_once __DIR__.'/vendor/autoload.php';

use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;

$request = Request::createFromGlobals();
$response = new Response();

实践效果如下

// framework/index.php
require_once DIR.'/init.php';
$input = $request->get('name', 'World');
$response->setContent(sprintf('Hello %s', htmlspecialchars($input, ENT_QUOTES, 'UTF-8')));
$response->send();

GoodBye 页面设置如下

// framework/bye.php
require_once __DIR__.'/init.php';

$response->setContent('Goodbye!');
$response->send();

我们确实需要把大部分重复性的代码放在一个地方，但是这不是所谓的抽象。我们需要每个页面都放置一个send方法，让页面以模板的形式表现出来，可以很方便的测试代码。

而且，新建一个新页面意味着我们需要新的php脚本文件，文件名通过URL（http://127.0.0.1:4321/bye.php）暴露到客户端。实际上，每一个php脚本文件都对应了一个特定的URL，这个过程通过web服务器直接完成。如果我们能把这个URL请求的派遣功能交给框架管理，这对我们来说会非常灵活，即框架的路由功能。

把单个php脚本文件暴露给客户端用户，是一种叫做 front controller 设计模式。
这样的脚本文件类似下面这种：

// framework/front.php
require_once __DIR__.'/vendor/autoload.php';

use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;

$request = Request::createFromGlobals();
$response = new Response();
$map = array(
    '/hello' => __DIR__.'/hello.php',
    '/bye'   => __DIR__.'/bye.php',
);
$path = $request->getPathInfo();
if (isset($map[$path])) {
    require $map[$path];
} else {
    $response->setStatusCode(404);
    $response->setContent('Not Found');
}
$response->send();

hello.php的例程

// framework/hello.php
$input = $request->get('name', 'World');
$response->setContent(sprintf('Hello %s', htmlspecialchars($input, ENT_QUOTES, 'UTF-8')));

在 front.php 脚本中，$map 变量把URL和对应的php脚本文件联系起来。

题外话，假如客户端请求一个路径，但是这个路径没有在 $map 变量中定义，我们则需要返回一个自定义的404页面；现在你自己已经可以控制网站了。

如果要访问某个页面，你必须在 front.php 脚本中定义。

http://127.0.0.1:4321/front.php/hello?name=Fabien
http://127.0.0.1:4321/front.php/bye
/path 和 /bye 是页面的路径。

大多数的 web 服务器比如 Apache 或者 Nginx 都具有重写请求地址的功能，把 front controller 去掉，用户只要输入 http://127.0.0.1:4321/hello?name=Fabien
就可以直接访问。

使用 Request::getPathInfo() 能够获取去除 front controller 的路径地址。

你甚至不需要通过启动服务器来测试代码，采用 $request = Request::create('/hello?name=Fabien'); 即可生成自定义的请求，参数即自定义的URL路径。

现在所有的页面都会先访问统一的脚本文件（front.php），然后通过把所有其他的代码放到公共访问得到目录以外的地方，可以提高网站的安全性。

example.com
├── composer.json
├── composer.lock
├── src
│   └── pages
│       ├── hello.php
│       └── bye.php
├── vendor
│   └── autoload.php
└── web
    └── front.php

配置web服务器的根目录到 web/，这样其他的文件将不会被客户端直接访问。
我们在浏览器测试（http://localhost:4321/?name=Fabien），运行 php 自建的服务器：

$ php -S 127.0.0.1:4321 -t web/ web/front.php

未完待续