Laravel — Eloquent, Blade আর PHP-র আধুনিক পথ

১ · PHP-র জায়গা, পুরোনো বদনাম আর Laravel-এর জন্ম

এ পর্যন্ত বাজারঘর বানিয়েছেন React, Express আর Next.js দিয়ে, সব JavaScript আর TypeScript-এ। এবার একই দোকানের একটি অংশ (পণ্যের তালিকা, একটি পণ্য, নতুন পণ্য যোগ করা, আর বিভাগের সম্পর্ক) বানাবেন Laravel দিয়ে। Laravel লেখা PHP ভাষায়। লক্ষ্য একটাই: একই কাজ অন্য ভাষার একটি পরিণত framework কীভাবে করে, তা পাশাপাশি দেখা।

PHP ওয়েবের সবচেয়ে পুরোনো server-side ভাষাগুলোর একটি। WordPress-এর মতো বহুল ব্যবহৃত CMS PHP-তে লেখা, আর পুরোনো-নতুন অসংখ্য সাইট এখনো PHP-তে চলে। বাংলাদেশে এর একটি বাস্তব কারণ আছে: স্থানীয় hosting কোম্পানির সাধারণ shared hosting প্যাকেজে সাধারণত cPanel, PHP আর MySQL আগে থেকেই থাকে। তাই অনেক ছোট ব্যবসা, এজেন্সি আর freelancer PHP দিয়ে শুরু করেন বলে দেখা যায়। কত শতাংশ, তা আমরা বলছি না, কারণ নির্ভরযোগ্য স্থানীয় হিসাব আমাদের হাতে নেই।

পুরোনো বদনাম আর আধুনিক PHP

PHP-র বদনামের পেছনে সত্যি কারণ ছিল। পুরোনো সংস্করণে register_globals-এর মতো সেটিং URL-এর মানকে সরাসরি variable বানিয়ে দিত। অনেক টিউটোরিয়ালে ইনপুট সরাসরি SQL-এর লেখায় জোড়া হতো, ফলে SQL injection ছিল সাধারণ ঘটনা। HTML, SQL আর logic এক ফাইলে মিশে থাকত। এই ছবিটাই অনেকের মনে রয়ে গেছে।

কিন্তু ভাষাটি অনেক বদলেছে। PHP 7 (২০১৫ সালের শেষে) গতিতে বড় লাফ দিয়েছিল বলে ব্যাপকভাবে জানা যায়। PHP 8 (২০২০) এনেছে named argument, attribute, match আর JIT. ঝুঁকিপূর্ণ পুরোনো সেটিংগুলো বহু আগেই সরানো হয়েছে। আর Composer (২০১২ সালের দিকে, Nils Adermann আর Jordi Boggiano-র শুরু করা) PHP-তে npm-এর মতো package ব্যবস্থাপনা এনেছে। লেখার সময়ে PHP-র সর্বশেষ ধারা 8.5. এই পর্বের সব run হয়েছে PHP 8.5.12-এ।

<?php
$price = 420;                       // variable-এর আগে সবসময় $
$product->name;                     // object-এর property:  JS-এর product.name
Product::create([...]);             // class-এর static method:  Product.create(...)
$row = ['name' => 'Tea', 'price' => 100];   // array, key => value (JS object-এর মতো)
echo "দাম {$price} টাকা" . PHP_EOL; // "..." ভেতরে variable; . দিয়ে string জোড়া

function total(int $qty, ?int $discount = null): int { ... }  // type, ?int মানে null-ও চলবে
$cheap = array_filter($items, fn ($p) => $p->price < 200);   // arrow function: fn

#[Fillable(['name', 'email', 'password'])]   // attribute: class-এর ওপর ঘোষণা (TS-এর decorator-এর মতো দেখতে)
class User extends Authenticatable { }

Queue::route(ProcessPodcast::class, connection: 'redis');     // named argument
public function __construct(public int $orderId) {}           // constructor-এ সরাসরি property

২ · Composer, artisan আর একটি Laravel project-এর গঠন

Node.js-এ যেমন npm, PHP-তে তেমন Composer. Package আসে Packagist থেকে, তালিকা থাকে composer.json-এ, আর ঠিক কোন version বসল তা থাকে composer.lock-এ (lockfile). নতুন project বানানো একটি command:

সত্যিকারের run · Composer 2.11.1 · PHP 8.5.12 · লম্বা তালিকা ছাঁটা

$ composer create-project laravel/laravel bazarghar
Creating a "laravel/laravel" project at "./bazarghar"
Installing laravel/laravel (v13.11.0)
  - Downloading laravel/laravel (v13.11.0)
  - Installing laravel/laravel (v13.11.0): Extracting archive
Created project in ~/bazarghar
…
Lock file operations: 110 installs, 0 updates, 0 removals
…
  - Locking laravel/framework (v13.39.0)
…
  - Locking phpunit/phpunit (12.5.42)
…
$ php artisan --version
Laravel Framework 13.39.0

লক্ষ করুন দুটি আলাদা version. laravel/laravel (v13.11.0) হলো শুরুর কাঠামো, মানে ফোল্ডার আর কয়েকটি ফাইল। আসল framework হলো laravel/framework (v13.39.0), যা vendor/-এ বসে আর Composer দিয়ে হালনাগাদ হয়। এক project-এ ১১০টি package এসেছে, তবে সবই PHP-র, কোনো node_modules নয়। Frontend asset-এর জন্য Vite আলাদাভাবে npm দিয়ে চলে।

artisan: project-এর নিজস্ব সহকারী

Artisan হলো Laravel-এর command-line tool, project-এর ভেতরে php artisan দিয়ে চলে। কাজ দুই রকম: ফাইল বানানো (make:*) আর অ্যাপ চালানো বা দেখা (migrate, route:list, test, queue:work). বাজারঘরের জন্য:

সত্যিকারের run · Laravel 13.39.0 · path ছাঁটা

$ php artisan make:model Category -m
 INFO Model [app/Models/Category.php] created successfully.
 INFO Migration [database/migrations/2026_10_31_200349_create_categories_table.php] created successfully.

$ php artisan make:model Product -mfs
 INFO Model [app/Models/Product.php] created successfully.
 INFO Factory [database/factories/ProductFactory.php] created successfully.
 INFO Migration [database/migrations/2026_10_31_200350_create_products_table.php] created successfully.
 INFO Seeder [database/seeders/ProductSeeder.php] created successfully.

$ php artisan make:controller ProductController --resource
$ php artisan make:request StoreProductRequest
$ php artisan make:test ProductApiTest
$ php artisan install:api
 INFO API scaffolding installed. Please add the [Laravel\Sanctum\HasApiTokens] trait to your User model.

-mfs মানে migration, factory আর seeder একসাথে। এটি Laravel-এর convention-এর শক্তি: Product model-এর table হবে products, foreign key category_id, আর এগুলো আলাদা করে বলতে হয় না। install:api নতুন project-এ routes/api.php ফাইল বানায়, আর Sanctum-এর কথা মনে করিয়ে দেয় (৮ নম্বর অংশে আসছে)। ফোল্ডারগুলোর মানচিত্র:

৩ · Route আর controller: বাজারঘরের পণ্যের API

Laravel-এ দুটি route ফাইল। routes/web.php-এর route পায় web middleware group: cookie, session আর CSRF যাচাই, কারণ এগুলো browser-এর পাতা। routes/api.php-এর route-এর আগে নিজে থেকে /api বসে, আর সেখানে session থাকে না, কারণ API সাধারণত token দিয়ে চলে। বাজারঘরের দুটি ফাইল:

// routes/web.php
Route::get('/products', [ProductController::class, 'page']);   // Blade পাতা

// routes/api.php
Route::apiResource('products', ProductController::class)
    ->only(['index', 'store', 'show']);                          // তিনটি JSON route

সত্যিকারের run · php artisan route:list --path=products

 GET|HEAD api/products .. products.index › ProductController@index
 POST api/products .. products.store › ProductController@store
 GET|HEAD api/products/{product} .. products.show › ProductController@show
 GET|HEAD products .. ProductController@page

 Showing [4] routes

একটি লাইনে তিনটি REST route, নামসহ। পর্ব ২৫-এ Express-এ এগুলো হাতে লিখেছিলেন। এবার controller:

class ProductController extends Controller
{
    public function index()
    {
        return Product::with('category')->inStock()->orderBy('price')->paginate(3);
    }

    public function store(StoreProductRequest $request)
    {
        $product = Product::create($request->validated());
        return response()->json($product, 201);
    }

    public function show(Product $product)          // route model binding
    {
        return $product->load('category');
    }

    public function page()
    {
        return view('products', [
            'products' => Product::with('category')->inStock()->orderBy('price')->get(),
        ]);
    }
}

তিনটি জিনিস Express-এ আপনাকে নিজে করতে হতো, এখানে framework করে দিচ্ছে। প্রথম, controller একটি model বা array ফেরত দিলেই Laravel সেটিকে JSON বানায়, আর paginate(3) নিজেই current_page, data, পরের পাতার link যোগ করে (পর্ব ৩৪)। দ্বিতীয়, show(Product $product): URL-এর {product} দেখে Laravel নিজেই সেই id-র পণ্য খুঁজে আনে। একে বলে route model binding. না পেলে 404. তৃতীয়, store-এ StoreProductRequest লেখামাত্র validation হয়ে যায়, controller-এর ভেতরে পৌঁছানোর আগেই।

সত্যিকারের run · local server, 127.0.0.1-এ · দ্বিতীয়টিতে stock 0-এর পণ্য বাদ, দাম অনুযায়ী সাজানো, পাতায় ৩টি · লম্বা অংশ ছাঁটা

$ curl -s /api/products/1
{"id":1,"category_id":1,"name":"Miniket Rice 5kg","price":420,"stock":30,"created_at":"2026-10-31T20:04:40.000000Z","updated_at":"2026-10-31T20:04:40.000000Z","category":{"id":1,"name":"Grocery","created_at":"2026-10-31T20:04:40.000000Z","updated_at":"2026-10-31T20:04:40.000000Z"}}

$ curl -s /api/products
{
    "current_page": 1,
    "data": [
        {
            "id": 5,
            "category_id": 3,
            "name": "Turmeric 200g",
            "price": 95,
            "stock": 25,
            …
            "category": {
                "id": 3,
                "name": "Spices",
                …
            }
        },
        {
            "id": 6,
            "category_id": 3,
            "name": "Red Chilli 200g",
            "price": 110,
            …
        },
        {
            "id": 4,
            "category_id": 2,
            "name": "Green Tea 100g",
            "price": 180,
            …

404, আর একটি বিপজ্জনক ডিফল্ট

নেই এমন পণ্য চাইলে route model binding 404 দেয়। কিন্তু আমাদের .env-এ ছিল APP_DEBUG=true, যা নতুন project-এ local কাজের জন্য স্বাভাবিক। তখন উত্তরটি দেখুন:

সত্যিকারের run · APP_DEBUG=true · path ছাঁটা, ৩০টির বেশি trace লাইন বাদ

$ curl -s -i /api/products/999 -H 'Accept: application/json'
HTTP/1.1 404 Not Found
X-Powered-By: PHP/8.5.12
Content-Type: application/json

{
    "message": "No query results for model [App\\Models\\Product] 999",
    "exception": "Symfony\\Component\\HttpKernel\\Exception\\NotFoundHttpException",
    "file": "~/bazarghar/vendor/laravel/framework/src/Illuminate/Foundation/Exceptions/Handler.php",
    "line": 773,
    "trace": [ … server-এর পুরো ফাইল-পথ, middleware-এর নাম আর লাইন নম্বর … ]
}

নিচের stepper-এ GET /products (Blade পাতা) request-টি ধাপে ধাপে দেখুন। Global middleware-এর নামগুলো উপরের আসল trace থেকে নেওয়া।

$app = require_once __DIR__.'/../bootstrap/app.php';
$app->handleRequest(Request::capture());
Apache বা nginx সব URL এই একটি ফাইলে পাঠায়

ValidatePathEncoding → InvokeDeferredCallbacks
→ TrustProxies → HandleCors
→ PreventRequestsDuringMaintenance → ValidatePostSize
→ TrimStrings → ConvertEmptyStringsToNull
তারপর web group: cookie, session, CSRF …

GET /products  →  ProductController@page
routes/web.php-এর ৪টির মধ্যে মিলল

select * from "products" where "stock" > ? order by "price" asc
select * from "categories" where "categories"."id" in (1, 2, 3)
stock 0-এর Soybean Oil বাদ, ফল ৬টি পণ্য

<h1>বাজারঘর</h1>
<ul>
    <li>Turmeric 200g (Spices): 95 টাকা</li>
    …
    <li>Miniket Rice 5kg (Grocery): 420 টাকা</li>
</ul>

৪ · Eloquent: Active Record, migration আর seeder

পর্ব ৩৮-এ ORM-এর দুই ঘরানা দেখেছিলেন। Eloquent হলো Active Record: প্রতিটি object একটি সারি, আর সেই object নিজেই নিজেকে পড়ে, লেখে আর মোছে। Prisma-তে আপনি একটি আলাদা client-কে ডেটা লেখার নির্দেশ দেন। Eloquent-এ পণ্যের object নিজেই নিজেকে সেভ করে।

class Product extends Model
{
    use HasFactory;

    protected $fillable = ['category_id', 'name', 'price', 'stock'];

    public function category(): BelongsTo           // প্রতিটি পণ্য একটি বিভাগের
    {
        return $this->belongsTo(Category::class);
    }

    public function scopeInStock(Builder $query): void   // ->inStock() হিসেবে ডাকা যায়
    {
        $query->where('stock', '>', 0);
    }
}

Model-এ column-এর তালিকা নেই। Eloquent table থেকে column নিজেই নেয়, আর table-এর নাম আসে class-এর নাম থেকে। scopeInStock একটি query scope: বারবার লাগা শর্তকে নাম দেওয়া। এবার আসল query builder-এর SQL আর save() দেখুন:

সত্যিকারের run · Laravel 13.39.0 · SQLite · php artisan bazarghar:builder নামের ছোট command, যা নিচের কোড চালায়

$q = Product::where('price', '<', 200)->where('stock', '>', 0)->orderBy('price');
$this->line($q->toSql());                          // SQL, মান ছাড়া
$this->line(json_encode($q->getBindings()));       // মানগুলো আলাদা
$this->line($q->pluck('name')->implode(', '));

$p = new Product(['category_id' => 2, 'name' => 'Lemon Tea 50g', 'price' => 70, 'stock' => 9]);
$this->line('exists before save: '.var_export($p->exists, true));
$p->save();                                        // নিজেই insert লেখে

select * from "products" where "price" < ? and "stock" > ? order by "price" asc
[200,0]
Turmeric 200g, Red Chilli 200g, Green Tea 100g
exists before save: false
exists after save: true, id=8
insert into "products" ("category_id", "name", "price", "stock", "updated_at", "created_at") values (?, ?, ?, ?, ?, ?)

দুটি জিনিস লক্ষ করুন। মানগুলো SQL-এর লেখায় নেই, ? হয়ে আলাদা গেছে: এটি parameterized query, তাই SQL injection-এর পথ বন্ধ। আর save() নিজেই বুঝেছে নতুন object, তাই insert, সাথে created_at আর updated_at নিজে বসিয়েছে। exists ছিল false, পরে true. একই object-এ আবার save() দিলে হবে update. এই আচরণটি নিচে Python-এ ছোট একটি মডেলে নিজে চালিয়ে দেখুন।

# শেখানোর মডেল: Eloquent-এর মতো Active Record, Python-এর sqlite3 দিয়ে (আসল Laravel নয়)
import sqlite3
db = sqlite3.connect(':memory:')
db.execute('create table products (id integer primary key, name text, price int, stock int)')
class Query:                                  # where() জুড়ে SQL বানায়
    def __init__(self, model): self.model, self.wheres, self.args = model, [], []
    def where(self, col, op, val):
        self.wheres.append(f'"{col}" {op} ?'); self.args.append(val); return self
    def get(self):
        sql = f'select * from "{self.model.table}"'
        if self.wheres: sql += ' where ' + ' and '.join(self.wheres)
        print('SQL:', sql, self.args)
        return [self.model(**dict(zip(('id', 'name', 'price', 'stock'), r)))
                for r in db.execute(sql, self.args)]

class Product:
    table = 'products'
    def __init__(self, **attrs): self.__dict__.update(attrs); self.exists = 'id' in attrs
    @classmethod
    def where(cls, *a): return Query(cls).where(*a)
    def save(self):                           # object নিজেই নিজেকে লেখে
        if self.exists:
            db.execute('update products set price = ? where id = ?', (self.price, self.id))
            print('SQL: update ... where id =', self.id)
        else:
            cur = db.execute('insert into products (name, price, stock) values (?, ?, ?)',
                             (self.name, self.price, self.stock))
            self.id, self.exists = cur.lastrowid, True
            print('SQL: insert ... id =', self.id)

for name, price, stock in [('Turmeric 200g', 95, 25), ('Green Tea 100g', 180, 7), ('Miniket Rice 5kg', 420, 30)]:
    Product(name=name, price=price, stock=stock).save()
cheap = Product.where('price', '<', 200).where('stock', '>', 0).get()
print([p.name for p in cheap])
cheap[0].price = 99; cheap[0].save()

Migration আর seeder

Schema বদলের নিয়ম পর্ব ৪০-এ শিখেছেন: প্রতিটি বদল একটি ক্রমিক ফাইল, যা প্রতিটি পরিবেশে একবার চলে। Laravel-এর migration PHP-তে লেখা, SQL-এ নয়, তাই একই ফাইল SQLite, MySQL আর PostgreSQL-এ চলে।

Schema::create('products', function (Blueprint $table) {
    $table->id();
    $table->foreignId('category_id')->constrained()->restrictOnDelete();
    $table->string('name');
    $table->unsignedInteger('price');           // টাকা, পূর্ণসংখ্যায়
    $table->unsignedInteger('stock')->default(0);
    $table->timestamps();                       // created_at, updated_at
});

constrained() নাম থেকে বুঝে নেয় যে category_id যাবে categories.id-এ, আর restrictOnDelete() পণ্য থাকা অবস্থায় বিভাগ মুছতে দেয় না। Seeder শুরুর ডেটা বসায়: ৩টি বিভাগ, প্রতিটিতে ২টি করে পণ্য, মোট ৬টি।

সত্যিকারের run · php artisan migrate:fresh --seed

 Dropping all tables .. 4.67ms DONE
 INFO Running migrations.
 0001_01_01_000000_create_users_table .......... 26.06ms DONE
 0001_01_01_000001_create_cache_table .......... 16.83ms DONE
 0001_01_01_000002_create_jobs_table ........... 26.34ms DONE
 2026_10_31_200349_create_categories_table ...... 8.81ms DONE
 2026_10_31_200350_create_products_table ........ 5.49ms DONE
 INFO Seeding database.
 Database\Seeders\ProductSeeder ...................... 51 ms DONE

৫ · সম্পর্ক আর N+1: ৭টি query থেকে ২টি

Model-এ সম্পর্ক লেখা হয় method হিসেবে। Product-এ belongsTo(Category::class), আর Category-তে উল্টো দিক hasMany(Product::class). একে-বহু সম্পর্কের নকশা পর্ব ৪১-এ দেখেছেন। Eloquent-এ সম্পর্কটি property-র মতো পড়া যায়: $product->category->name. আর এই সুবিধার ভেতরেই একটি ফাঁদ লুকিয়ে আছে।

যখন আপনি $product->category লেখেন আর বিভাগ আগে আনা হয়নি, Eloquent তখনই একটি query পাঠায়। একে বলে lazy loading. একটি পণ্যে সমস্যা নেই। কিন্তু ৬টি পণ্যের তালিকায় লুপ চালালে ১টি query তালিকার জন্য, আর ৬টি বিভাগের জন্য: N+1, যা পর্ব ৪২-এ Prisma দিয়ে মেপেছিলেন। Laravel-এ মাপা হলো এভাবে:

DB::enableQueryLog();
foreach (Product::all() as $product) {
    $product->category->name;                       // প্রতিবার একটি করে query
}
$this->line('Lazy loading: '.count(DB::getQueryLog()).' queries');

DB::flushQueryLog();
foreach (Product::with('category')->get() as $product) {
    $product->category->name;                       // আগেই আনা, query নেই
}
$this->line('Eager loading: '.count(DB::getQueryLog()).' queries');

সত্যিকারের run · Laravel 13.39.0 · SQLite · ৩টি বিভাগ, ৬টি পণ্য

$ php artisan bazarghar:queries
Lazy loading: 7 queries
Eager loading: 2 queries
 select * from "products" []
 select * from "categories" where "categories"."id" in (1, 2, 3) []

৭ থেকে ২. ভালো খবর হলো সংখ্যাটি আর পণ্যের সংখ্যার সাথে বাড়ে না: ৬০০টি পণ্যেও with()-এ ২টি query, lazy-তে ৬০১টি। লক্ষ করুন, মাত্র ৩টি আলাদা বিভাগ থাকলেও lazy loading ৬টি query পাঠিয়েছে, কারণ Eloquent প্রতিটি পণ্যের সম্পর্ক আলাদাভাবে আনে, একই বিভাগ আগে এসেছে কি না মনে রাখে না। একে বলে eager loading. নিচের stepper-এ with()-এর ভেতরের ধাপগুলো দেখুন।

1$q = Product::with('category');2$products = $q->get();   // query 13ids = unique(category_id)4Category::whereIn('id', ids)   // query 25foreach … $p->category->name

একই কৌশল Python-এর sqlite3 দিয়ে একটি মডেলে চালিয়ে দেখুন। Fixture হুবহু বাজারঘরের: ৩টি বিভাগ, ৬টি পণ্য।

# শেখানোর মডেল: lazy loading বনাম with()-এর মতো eager loading, query গুনে (আসল Eloquent নয়)
import sqlite3
db = sqlite3.connect(':memory:')
db.executescript('''
create table categories (id integer primary key, name text);
create table products (id integer primary key, category_id int, name text);
insert into categories values (1,'Grocery'),(2,'Tea'),(3,'Spices');
insert into products values (1,1,'Miniket Rice 5kg'),(2,1,'Soybean Oil 1L'),(3,2,'Sylhet Tea 400g'),
  (4,2,'Green Tea 100g'),(5,3,'Turmeric 200g'),(6,3,'Red Chilli 200g');
''')
log = []
def q(sql, args=()):
    log.append(sql); return db.execute(sql, args).fetchall()

# Lazy: প্রতিটি product-এর category আলাদা query-তে
log.clear()
for pid, cid, name in q('select * from products'):
    q('select * from categories where id = ? limit 1', (cid,))
print('lazy :', len(log), 'queries')

# Eager: সব product, তারপর দরকারি সব category একবারে (where id in ...)
log.clear()
products = q('select * from products')
ids = sorted({cid for _, cid, _ in products})
marks = ', '.join('?' * len(ids))
cats = {i: n for i, n in q(f'select * from categories where id in ({marks})', ids)}
print('eager:', len(log), 'queries ->', log[1].replace(marks, ', '.join(map(str, ids))))
print([f'{name} ({cats[cid]})' for _, cid, name in products][:3])

for n in (6, 60, 600):                       # product বাড়লে
    print(f'N={n:>3}: lazy {1 + n:>3} queries, eager 2 queries')

৬ · Mass assignment আর validation: 201 আর 422

Product::create($data) একসাথে অনেক column বসায়। একে বলে mass assignment. বিপদ হলো, $data যদি সরাসরি ক্রেতার পাঠানো JSON হয়, তাহলে ক্রেতা যেকোনো column বদলাতে পারেন: id, is_admin, দাম। পর্ব ২৭-এ Zod দিয়ে এর বিরুদ্ধে পাহারা বসিয়েছিলেন। Laravel-এ পাহারা দুই স্তরে।

প্রথম স্তর model-এ: protected $fillable = [...], অর্থাৎ শুধু এই column-গুলো একসাথে বসানো যাবে। এর নাম fillable. বাকি key চুপচাপ বাদ পড়ে। আসল run-এ ইচ্ছা করে is_admin পাঠানো হয়েছিল:

সত্যিকারের run · Laravel 13.39.0

// $product->fill(['name' => 'Tea', 'price' => 100, 'is_admin' => true]);
$ php artisan bazarghar:massassign
{"name":"Tea","price":100}

দ্বিতীয় স্তর request-এ: FormRequest. এটি একটি আলাদা class, যেখানে নিয়ম লেখা থাকে। Controller-এ $request->validated() শুধু নিয়মে থাকা field-গুলো দেয়।

class StoreProductRequest extends FormRequest
{
    public function authorize(): bool
    {
        return true; // শুধু demo: আসল দোকানে এখানে admin কি না যাচাই হবে
    }

    public function rules(): array
    {
        return [
            'category_id' => ['required', 'integer', 'exists:categories,id'],
            'name'        => ['required', 'string', 'max:120'],
            'price'       => ['required', 'integer', 'min:1'],
            'stock'       => ['sometimes', 'integer', 'min:0'],
        ];
    }
}

exists:categories,id নিয়মটি ডেটাবেসে গিয়ে দেখে বিভাগটি সত্যিই আছে কি না। আর authorize() হলো কে এই কাজ করতে পারবেন, তার যাচাই (পর্ব ৪৮)। Demo-তে true, যা আসল অ্যাপে বিপজ্জনক, তাই মন্তব্যে লেখা আছে। এবার দুটি আসল request:

সত্যিকারের run · local server · body-তে ইচ্ছা করে বাড়তি id আর created_at

$ curl -s -i -X POST /api/products -H 'Accept: application/json' -H 'Content-Type: application/json' \
    -d '{"category_id":2,"name":"Lemon Tea 50g","price":70,"stock":9,"id":1,"created_at":"2000-01-01"}'
HTTP/1.1 201 Created
Content-Type: application/json

{"category_id":2,"name":"Lemon Tea 50g","price":70,"stock":9,"updated_at":"2026-11-02T19:10:27.000000Z","created_at":"2026-11-02T19:10:27.000000Z","id":9}

$ curl -s -i -X POST /api/products -H 'Accept: application/json' -H 'Content-Type: application/json' \
    -d '{"category_id":99,"price":0}'
HTTP/1.1 422 Unprocessable Content
Content-Type: application/json

{"message":"The selected category id is invalid. (and 2 more errors)","errors":{"category_id":["The selected category id is invalid."],"name":["The name field is required."],"price":["The price field must be at least 1."]}}

প্রথমটিতে ক্রেতা id: 1 চেয়েছিলেন, পেলেন 9. created_at ২০০০ সাল চেয়েছিলেন, পেলেন আজকের সময়। দুটিই validated()-এ বাদ পড়েছে। দ্বিতীয়টিতে তিনটি ভুল একসাথে, প্রতিটি field-এর নামে আলাদা তালিকায়, status 422. লক্ষ করুন status-এর লেখা Unprocessable Content: HTTP-র নতুন নির্দেশিকা RFC 9110 (২০২২) এই নামটি ব্যবহার করে, পুরোনো লেখায় “Unprocessable Entity” দেখবেন। সংখ্যা একই।

1POST /api/products {category_id:99, price:0}2store(StoreProductRequest $request)3rules() একে একে যাচাই4throw ValidationException5422 + {"message", "errors"}

আকৃতিটি তুলনা করুন। পর্ব ৩৩-এ problem details (application/problem+json) দেখেছিলেন, যেখানে type, title, status থাকে। Laravel-এর ডিফল্ট নিজস্ব: message আর errors. পর্ব ৬৯-এর FastAPI-ও 422 দেয়, তবে detail নামের একটি তালিকায়, যেখানে প্রতিটি ভুলের অবস্থান (loc) থাকে। Status একই, আকার আলাদা। তাই React-এর frontend কোন backend-এর সাথে কথা বলছে, তা জেনেই ভুল দেখানোর কোড লিখতে হয়।

দুই স্তরের পাহারা নিচের JavaScript মডেলে নিজে চালিয়ে দেখুন।

// শেখানোর মডেল: Eloquent-এর $fillable আর validated() কীভাবে বাড়তি field ছেঁটে ফেলে (আসল Laravel নয়)
class Model {
  static fillable = [];
  constructor() { this.attributes = {}; }
  fill(input) {                               // শুধু তালিকায় থাকা key রাখে, বাকিগুলো চুপচাপ বাদ
    for (const [k, v] of Object.entries(input)) {
      if (this.constructor.fillable.includes(k)) this.attributes[k] = v;
    }
    return this;
  }
}
class Product extends Model { static fillable = ['category_id', 'name', 'price', 'stock']; }
class Unguarded extends Model { static fillable = ['*']; fill(input) { Object.assign(this.attributes, input); return this; } }

const body = { name: 'Tea', price: 100, is_admin: true, id: 1 }; // ক্রেতার পাঠানো JSON
console.log('fillable :', JSON.stringify(new Product().fill(body).attributes));
console.log('unguarded:', JSON.stringify(new Unguarded().fill(body).attributes));

// FormRequest-এর validated(): rules-এ নেই এমন key ফলেই আসে না
const rules = {
  category_id: v => Number.isInteger(v) && [1, 2, 3].includes(v) || 'The selected category id is invalid.',
  name: v => (typeof v === 'string' && v.length > 0) || 'The name field is required.',
  price: v => (Number.isInteger(v) && v >= 1) || 'The price field must be at least 1.',
};
function validate(input) {
  const errors = {}, validated = {};
  for (const [field, check] of Object.entries(rules)) {
    const r = check(input[field]);
    if (r === true) validated[field] = input[field]; else errors[field] = [r];
  }
  return Object.keys(errors).length ? { status: 422, errors } : { status: 201, validated };
}
console.log(JSON.stringify(validate({ category_id: 2, name: 'Darjeeling Tea', price: 350, is_admin: true })));
console.log(JSON.stringify(validate({ category_id: 99, price: 0 })));

৭ · Blade: template, escaping আর {!! !!}-এর বিপদ

React-এ পাতা বানাতেন JSX দিয়ে, browser-এ বা server-এ। Laravel-এর পুরোনো আর এখনো খুব প্রচলিত পথ হলো server-এ HTML বানানো, Blade template দিয়ে। এটি পর্ব ০৩-এর MPA ধরন: প্রতিটি পাতা server-এ পুরো তৈরি হয়ে আসে। বাজারঘরের পণ্যের পাতা:

<h1>বাজারঘর</h1>
<ul>
@forelse ($products as $product)
    <li>{{ $product->name }} ({{ $product->category->name }}): {{ $product->price }} টাকা</li>
@empty
    <li>কোনো পণ্য নেই</li>
@endforelse
</ul>
<p>{{ '<script>alert(1)</script>' }}</p>

সত্যিকারের run · curl -s /products

<h1>বাজারঘর</h1>
<ul>
    <li>Turmeric 200g (Spices): 95 টাকা</li>
    <li>Red Chilli 200g (Spices): 110 টাকা</li>
    <li>Green Tea 100g (Tea): 180 টাকা</li>
    <li>Sylhet Tea 400g (Tea): 260 টাকা</li>
    <li>Darjeeling Tea (Tea): 350 টাকা</li>
    <li>Miniket Rice 5kg (Grocery): 420 টাকা</li>
</ul>
<p>&lt;script&gt;alert(1)&lt;/script&gt;</p>

@forelse আর @empty হলো Blade-এর directive: তালিকা ফাঁকা হলে অন্য লাইন। শেষ লাইনটি ইচ্ছা করে রাখা: <script> লেখাটি browser-এ লেখা হিসেবেই দেখাবে, চলবে না। কারণ {{ }} সবকিছু escape করে, ঠিক যেমন React-এর JSX { }-এ করে (পর্ব ০৮)। Blade ফাইল প্রথমবার সাধারণ PHP-তে compile হয়ে storage/framework/views-এ জমা থাকে, আর {{ $x }} হয়ে যায় e($x), যা ভেতরে PHP-র htmlspecialchars ডাকে।

যেখানে পাহারা আপনি নিজে সরান

Blade-এ আরেকটি লেখার ধরন আছে: {!! $x !!}. এটি কিছুই escape করে না। React-এর dangerouslySetInnerHTML-এর সমান, শুধু নামে ভয়ের কোনো চিহ্ন নেই। ধরুন বাজারঘরে ক্রেতার রিভিউ দেখানো হচ্ছে, আর একজন রিভিউতে script লিখে দিলেন:

সত্যিকারের run · Laravel 13.39.0 · একই মান দুই ধরনে

// escape.blade.php:   <p>{{ $review }}</p>   <p>{!! $review !!}</p>
// $review = '<b>ভালো</b><script>steal()</script>'
$ php artisan bazarghar:blade
<p>&lt;b&gt;ভালো&lt;/b&gt;&lt;script&gt;steal()&lt;/script&gt;</p>
<p><b>ভালো</b><script>steal()</script></p>

// attr.blade.php:   <input value="{{ $name }}">   ,   $name = '" onmouseover="alert(1)'
$ php artisan bazarghar:attr
<input value="&quot; onmouseover=&quot;alert(1)">

দ্বিতীয় লাইনটি একটি stored XSS: রিভিউ ডেটাবেসে থাকবে, আর যতজন পাতাটি খুলবেন, প্রত্যেকের browser-এ steal() চলবে, তাঁদের session-এর অধিকারে। তৃতীয় run দেখায় {{ }} attribute-এর ভেতরেও নিরাপদ, কারণ " হয়ে যায় ". তালিকাটি পর্ব ৫০-এর XSS অংশের সাথে মিলিয়ে নিন, আর তত্ত্ব আছে XSS আর CSP পর্বে।

// শেখানোর মডেল: Blade-এর {{ }} আর {!! !!}, ছোট একটি template engine-এ (আসল Blade নয়)
// Blade {{ }}-কে PHP-র htmlspecialchars দিয়ে escape করে; এখানে একই পাঁচটি অক্ষর
const e = s => String(s)
  .replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;')
  .replace(/"/g, '&quot;').replace(/'/g, '&#039;');

function render(template, data) {
  return template
    .replace(/\{!!\s*(\w+)\s*!!\}/g, (_, k) => String(data[k]))   // raw: যা আছে তাই
    .replace(/\{\{\s*(\w+)\s*\}\}/g, (_, k) => e(data[k]));       // escaped
}

const review = '<b>ভালো</b><script>steal()</script>';
const tpl = '<p>{{ review }}</p>\n<p>{!! review !!}</p>';
console.log(render(tpl, { review }));

// attribute-এর ভেতরেও উদ্ধৃতি চিহ্ন escape হওয়া জরুরি
const name = '" onmouseover="alert(1)';
console.log(render('<input value="{{ name }}">', { name }));
console.log(render('<input value="{!! name !!}">', { name }));

৮ · Auth, Sanctum, queue, scheduler, Inertia, Livewire আর test

Laravel-কে “batteries included” বলা হয়, কারণ ওপরের সবকিছুর বাইরেও অনেক কিছু একই বাক্সে আসে। এই অংশে প্রতিটির জায়গা চিনিয়ে দেওয়া হলো। বিস্তারিত তত্ত্ব আগের পর্বগুলোতে আছে।

Login: starter kit আর Sanctum

Laravel 13-এর docs অনুযায়ী laravel new চালালে একটি starter kit বেছে নেওয়া যায়: React, Vue, Svelte বা Livewire. প্রতিটিতে login, registration, password reset, email যাচাই আর two-factor authentication তৈরি থাকে। ভেতরের কাজটি করে Laravel Fortify নামের package, আর সব কোড আপনার project-এর ভেতরে কপি হয়, তাই নিজের মতো বদলানো যায়। Login-এর মূল ধারণা, cookie, session আর CSRF, পর্ব ৪৫-এ শিখেছেন। Starter kit সেগুলোই তৈরি অবস্থায় দেয়।

API-র জন্য আছে Sanctum. এর দুটি কাজ: mobile অ্যাপ বা অন্য client-এর জন্য সাধারণ API token, আর একই domain-এর SPA-র জন্য cookie-ভিত্তিক login. লেখার সময়ে Packagist-এ Sanctum-এর সর্বশেষ version 4.3.3. আমাদের install:api run শুধু routes/api.php বানিয়ে HasApiTokens trait যোগ করতে বলেছে। Token login এই পর্বে চালানো হয়নি। Token আর JWT-র পার্থক্য পর্ব ৪৬-এ দেখেছেন: Sanctum-এর token সাধারণত ডেটাবেসে hash হিসেবে থাকে, তাই বাতিল করা সহজ।

Queue আর scheduler

পর্ব ৬২-এ BullMQ আর Redis দিয়ে যা করেছিলেন, Laravel-এ তা framework-এর ভেতরেই আছে। নতুন project-এ QUEUE_CONNECTION=database, অর্থাৎ job জমা হয় ডেটাবেসের jobs table-এ, Redis ছাড়াই। একটি job class:

class SendInvoiceEmail implements ShouldQueue
{
    use Queueable;

    public int $tries = 3;                                // মোট ৩ বার চেষ্টা

    public function __construct(public int $orderId) {}  // job-এ শুধু id

    public function handle(): void
    {
        Log::info("invoice email sent for order {$this->orderId}");
    }
}
// কোথাও থেকে:  SendInvoiceEmail::dispatch(501);

সত্যিকারের run · Laravel 13.39.0 · database queue

$ php artisan bazarghar:dispatch
jobs waiting: 1
$ php artisan queue:work --once
 2026-11-02 19:08:21 App\Jobs\SendInvoiceEmail .. RUNNING
 2026-11-02 19:08:21 App\Jobs\SendInvoiceEmail .. 19.83ms DONE
$ tail -1 storage/logs/laravel.log
[2026-11-02 19:08:21] local.INFO: invoice email sent for order 501

dispatch শুধু সারিতে রাখে, তাই সারিতে ১টি। queue:work হলো worker, যা আলাদা process হিসেবে চলে। --once দিয়ে একটি job চালিয়ে থামানো হয়েছে, production-এ এটি সারাক্ষণ চলে আর কেউ নজর রাখে (যেমন Supervisor বা systemd). Redis queue-র জন্য Laravel-এর নিজস্ব dashboard Horizon-ও আছে। পর্ব ৬২-এর সব নিয়ম, idempotent handler আর job-এ শুধু id, এখানেও খাটে।

নির্দিষ্ট সময়ের কাজ লেখা হয় routes/console.php-এ, scheduler দিয়ে:

Schedule::command('bazarghar:report')->dailyAt('09:00')->timezone('Asia/Dhaka');

সত্যিকারের run · app-এর time zone UTC

$ php artisan schedule:list

 0 3 * * * php artisan bazarghar:report .. Next Due: 7 hours from now

ঢাকার সকাল ৯টা দেখাচ্ছে 0 3 * * *, কারণ app UTC-তে চলে আর ঢাকা UTC+6. পর্ব ৬২-এর time zone-এর শিক্ষা এখানে নিজের চোখে দেখলেন। Laravel-এর scheduler নিজে ঘড়ি দেখে না। Server-এর cron প্রতি মিনিটে একবার php artisan schedule:run চালায়, আর Laravel ঠিক করে এই মিনিটে কোন কাজের সময় হয়েছে। তাই crontab-এ মাত্র একটি লাইন লাগে।

React বা Vue চাইলে: Inertia, আর JavaScript কম চাইলে: Livewire

Test: PHPUnit বা Pest

Laravel-এ নতুন project-এ test চালানোর সব ব্যবস্থা থাকে। RefreshDatabase প্রতিটি test-এর জন্য পরিষ্কার ডেটাবেস দেয়, factory নমুনা ডেটা বানায়, আর postJson বা getJson server না চালিয়েই request পাঠায়। আমাদের project-এ PHPUnit 12. অনেকে Pest পছন্দ করেন, যা PHPUnit-এর ওপরে আরও ছোট লেখার ধরন দেয় (লেখার সময়ে Pest 5.3.5). দুটিই php artisan test দিয়ে চলে।

public function test_it_rejects_a_zero_price(): void
{
    $category = Category::factory()->create();

    $this->postJson('/api/products', [
        'category_id' => $category->id,
        'name' => 'Free Tea',
        'price' => 0,
    ])->assertUnprocessable()->assertJsonValidationErrors('price');
}

public function test_out_of_stock_products_are_hidden(): void
{
    Product::factory()->create(['name' => 'Gone', 'stock' => 0]);
    Product::factory()->create(['name' => 'Here', 'stock' => 2]);

    $this->getJson('/api/products')->assertOk()
        ->assertJsonCount(1, 'data')->assertJsonPath('data.0.name', 'Here');
}

সত্যিকারের run · PHPUnit 12.5.42 · একটি local কম্পিউটারে একবার · লাইনের মাঝের ফাঁকা জায়গা ছোট করা

$ php artisan test

   PASS  Tests\Unit\ExampleTest
  ✓ that true is true

   PASS  Tests\Feature\ExampleTest
  ✓ the application returns a successful response              0.12s

   PASS  Tests\Feature\ProductApiTest
  ✓ it creates a product                                       0.08s
  ✓ it rejects a zero price                                    0.01s
  ✓ out of stock products are hidden                           0.01s

  Tests:    5 passed (11 assertions)
  Duration: 0.45s

একটি অদ্ভুত ব্যাপার আমরা দেখেছি: AI coding tool-এর পরিবেশ থেকে একই command চালালে Laravel পুরো তালিকার বদলে এক লাইনের JSON দিয়েছে, যেমন {"tool":"phpunit","result":"passed","tests":5,…}. Laravel 13-এর project-এ laravel/agent-detector নামের একটি package থাকে, আর ফলটি দেখে মনে হয় সেটি এমন পরিবেশ চিনে output বদলায়। উপরের output সাধারণ terminal-এর, যা আপনি দেখবেন। Test-এর কৌশল নিয়ে বিস্তারিত পর্ব ৭৫-এ (API integration test).

৯ · Deploy: shared hosting বনাম VPS, আর কখন Laravel বেছে নেবেন

Node.js অ্যাপ চালাতে সাধারণত একটি সারাক্ষণ চলা process লাগে। PHP-র ধরন আলাদা: web server প্রতিটি request-এ PHP চালায় (সাধারণত PHP-FPM দিয়ে), কাজ শেষে সেই request-এর সব মেমরি ছেড়ে দেয়। এই কারণেই সাধারণ shared hosting-এ PHP অ্যাপ সহজে চলে। Laravel-ও চলে, তবে কয়েকটি শর্তে। নিচের তালিকা সাধারণ চিত্র। প্রতিটি hosting-এর সুবিধা আলাদা, তাই আপনার প্যাকেজের নিয়ম মিলিয়ে নিন।

একটি সাধারণ deploy-এর ধাপ (VPS-এ বা SSH আছে এমন shared hosting-এ), উদাহরণ হিসেবে, এখানে চালানো হয়নি:

composer install --no-dev --optimize-autoloader   # dev package বাদ
php artisan migrate --force                        # production-এ শুধু নতুন migration
php artisan optimize                               # config, route, view cache
# crontab বা cPanel cron-এ একটি লাইন, প্রতি মিনিটে:
* * * * * cd ~/bazarghar && php artisan schedule:run >> /dev/null 2>&1

Shared hosting-এ queue worker সবসময় চালু রাখা না গেলে অনেকে scheduler দিয়ে প্রতি মিনিটে queue:work --stop-when-empty চালান: সারি খালি হলে worker নিজে থামে। ছোট দোকানে এটি চলে, তবে job শুরু হতে এক মিনিট পর্যন্ত দেরি হতে পারে, আর একসাথে অনেক worker চলার ঝুঁকিও থাকে (Laravel-এর withoutOverlapping() এটি আটকায়)। Deploy-এর পুরো বিষয়টি মডিউল ১২-এ (Production-এ পাঠানো): কোথায় চালাবেন তার তুলনা পর্ব ৮২-এ (কোথায় চালাবেন — VPS, shared hosting, PaaS আর serverless), Docker-এ অ্যাপ পর্ব ৮০-এ, আর CI/CD পর্ব ৮১-এ। Stack বাছাইয়ের ছক আসবে মডিউল ১৩-এর পর্ব ৮৫-এ।

কখন Laravel বেছে নেবেন

কোনো framework সবার জন্য সেরা নয়। Express-এ আপনি প্রতিটি অংশ বেছে জোড়া দেন: নমনীয়, কিন্তু সিদ্ধান্ত অনেক। Laravel সিদ্ধান্তগুলো আগেই নিয়ে রেখেছে: দ্রুত শুরু, কিন্তু তার পথে চলতে হয়। Django-র দর্শন Laravel-এর কাছাকাছি, আর Rails দুটিরই পূর্বসূরি ধরা যায় (পর্ব ৭১)।

১০ · AI-এর যুগে: Laravel কোড যাচাই

Laravel-এর দশ বছরের বেশি পুরোনো টিউটোরিয়াল আর Stack Overflow উত্তর ইন্টারনেটে ভরা। AI সেখান থেকেই শিখেছে, তাই প্রায়ই পুরোনো version-এর কোড দেয়, যা দেখতে ঠিক কিন্তু আপনার version-এ ভুল জায়গায় বা অনিরাপদ। সাধারণ ভুলগুলো:

AI-এর লেখা Laravel কোড হাতে পেলে

• php artisan --version দেখে সেই version-এর docs-এ প্রতিটি ফাইলের জায়গা আর method মিলিয়েছি
• নতুন package থাকলে Packagist-এ সত্যিই আছে কি না, আর দরকার কি না দেখেছি
• বাড়তি field (id, is_admin) পাঠিয়ে দেখেছি সেগুলো বাদ পড়ে
• ভুল ইনপুটে 422 আর errors পেয়েছি, আর অন্য user দিয়ে 403
• Query log দেখে তালিকার পাতায় query-র সংখ্যা মেপেছি
• {!! আর raw SQL খুঁজে প্রতিটির কারণ বুঝেছি
• php artisan test চালিয়েছি, আর .env বা কোনো secret AI-কে দিইনি