Blade šablony, direktivy a automatická ochrana proti XSS

Šablonovací engine Blade a jeho kompilace

Blade je nativní, neuvěřitelně rychlý šablonovací engine Laravelu. Na rozdíl od jiných PHP šablonovacích systémů (jako je např. Twig nebo Smarty) vás Blade neomezuje v používání čistého PHP kódu uvnitř šablon.

Všechny Blade šablony (.blade.php) jsou při prvním spuštění zkompilovány do čistého nativního PHP kódu a uloženy do adresáře storage/framework/views/. Při dalších požadavcích se již kód nekompiluje, ale přímo vykonává, což znamená nulový výkonnostní dopad na produkční běh.

Šablona (.blade.php) ──► Blade Kompilátor ──► Nativní PHP v storage/framework/views/
                                                          │
                                                    Rychlý běh

1. Zobrazení dat a neprůstřelná ochrana proti XSS

Nejčastější bezpečnostní zranitelností webových aplikací je Cross-Site Scripting (XSS) – situace, kdy útočník vloží do databáze škodlivý JavaScriptový kód <script>...</script>, který se následně spustí v prohlížeči ostatních návštěvníků.

Blade tuto hrozbu řeší automaticky:

A) Bezpečný escapovaný výpis {{ $data }}

Kdykoliv v Blade použijete dvojité složené závorky, Laravel hodnotu automaticky prožene nativní funkcí htmlspecialchars():

<h1>{{ $student->name }}</h1>
{{-- Pokud name obsahuje '<script>', vypíše se jako &lt;script&gt; a nespustí se! --}}

B) Neescapovaný surový výpis {!! $data !!}

Pouze v případě, kdy si jste 100% jisti, že obsah je bezpečný (například vyrenderovaný Markdown v naší aplikaci, který byl předem ošetřen):

<div class="prose">
    {!! $renderedHtml !!}
</div>

Varování: Zápis {!! !!} nikdy nepoužívejte pro neověřené vstupy zadané uživatelem!

2. Praktické Blade direktivy v našem projektu

Blade nabízí elegantní zkratky pro běžné PHP konstrukce, které udržují kód čistý a čitelný:

• Podmínky: @if($lesson->lifecycle_phase), @elseif, @else, @endif, případně @empty($variable) a @isset($variable).
• Cykly: @foreach($modules as $module), kde máte k dispozici magickou proměnnou $loop (např. $loop->first, $loop->last, $loop->iteration).
• Ochrana formulářů: @csrf vygeneruje skryté input pole s CSRF tokenem chránící proti zfalšování požadavku mezi weby.
• Vkládání assetů: @vite(['resources/css/app.css', 'resources/js/app.js']) automaticky zajistí správné cesty ke stylům a skriptům.

3. Rozbor layoutu a sekcí v resources/views/layouts/app.blade.php

V naší aplikaci slouží resources/views/layouts/app.blade.php jako centrální kostra celého HTML dokumentu. Obsahuje:

1. Společné HTML hlavičky (<head>), načtení fontů a CSS assetů.
2. Globální horní navigaci s logem, přepínačem modulů a anonymním profilem studenta.
3. Flash alerty pro zobrazení zpráv ze session (@if(session('success'))).
4. Vymezené místo pro hlavní obsah: {{ $slot ?? '' }} a @yield('content').