As palavras do Guilherme resumem bem o conceito de middleware. O middleware é uma estrutura para se trabalhar diretamente sobre o protocolo HTTP, tendo como entrada a requisição HTTP recebida pelo servidor e como saída a resposta HTTP gerada. Esta resposta pode, ou não, ser gerada pelo próprio middleware. No caso da autenticação, por exemplo, o middleware responsável irá verificar as credenciais presentes na requisição; se forem nulas ou inválidas, o próprio middleware irá gerar a resposta de acesso negado; mas caso contrário, ele permite que a requisição de propague pela aplicação.
Too Long, Read Anyway
A resposta será longa, mas vale a leitura (valeu para mim, pelo menos).
Middleware e o protocolo HTTP
O middleware trabalha diretamente sobre o protocolo HTTP - de fato, qualquer aplicação WEB que utiliza tal protocolo trabalhará diretamente sobre ele, porém nem sempre é tão franco como cosstuma ser com o middleware. Em PHP, isso costuma ficar bem nítido pois os middlewares trabalham sobre a recomendação definida na PSR-7: HTTP Message Interfaces. Esta recomendação define uma interface para as requisições HTTP:
Psr\Http\Message\RequestInterface
Ou, justamente para representar a requisição recebida pelo servidor, a interface (esta interface estende a anterior):
Psr\Http\Message\ServerRequestInterface
Para trabalhar com as respostas HTTP, definiu-se a interface:
Psr\Http\Message\ResponseInterface
Estas três podem ser consideradas as triviais da PSR-7. As implementações destas interfaces podem ser encontradas no repositório oficial da PSR e instaladas no projeto através do Composer:
composer install psr/http-message
Em particular, o framework Slim utiliza estas interfaces. Para confirmar, basta verificar as implementações das classes Request
e Response
:
Request.php:
use Psr\Http\Message\ServerRequestInterface;
class Request extends Message implements ServerRequestInterface {}
Response.php:
use Psr\Http\Message\ResponseInterface;
class Response extends Message implements ResponseInterface {}
Então, a partir deste momento, quando referido-se a um objeto Request
entenda-se por um objeto que implementa a interface Psr\Http\Message\RequestInterface
(ou equivalente), seja do Slim ou não, e quando referido-se a um objeto Response
entenda-se por um objeto que implementa a interface Psr\Http\Message\ResponseInterface
(ou equivalente), seja do Slim ou não.
Implementação de um middleware
Desta forma, então, fica mais claro quais são as entradas e saídas de um middleware: um objeto Request
de entrada ($request
) e um objeto Response
de saída ($response
). Existe uma nova PSR que trata apenas sobre middlewares: a PSR-10, porém esta recomendação ainda está em fase de rascunho e pode sofrer alterações, embora já possua uma estrutura bem consolidada e aplicada em alguns frameworks.
De forma simplificada, existem 3 maneiras distintas de se implementar um middleware:
1. Double Pass
Esta abordagem é, atualmente, a mais utilizada e foi baseada no framework Express:
function(request, response, next): response
Nesta abordagem, podemos definir que o middleware é definido como um objeto callable
(comumente como Closure), que recebe três parâmetros:
request
: um objeto Request
;
response
: um objeto Response
;
next
: um objeto callable
que representa o próximo middleware;
Esta abordagem faz mais sentido quando os middlewares são postos em forma de pipeline, ou seja, alinhados, em que a saída de um servirá como entrada do outro, explicando o motivo de o objeto Response
também ser propagado como parâmetro.
Figura 1: Diagrama de blocos representando a organização de middlewares alinhados.
Um exemplo desta implementação seria:
function auth ($request, $response, $next)
{
if (! Auth::validate()) {
$response = new Response(401, "Unauthorized");
}
return $next($request, $response);
}
Perceba que no middleware de autenticação é executada a lógica de verificação das credenciais e, caso falhe, a resposta é alterada para uma resposta 401. O problema desta estrutura é que todos os middlewares serão executados e aqueles que necessitam de autenticação para serem executados terão que fazer a verificação de qual é a resposta que chegou como parâmetro:
function anything ($request, $response, $next)
{
if ($response->getCode() == 200) {
// Faça algo apenas se a resposta está OK.
}
return $next($request, $response);
}
Para contornar este problema, algumas aplicações preferem a estrutura de pilhas a alinhada, pois a estrutura de pilha permite o que chamamos de curto-circuito na resposta HTTP. Por exemplo, se o middleware de autenticação já gerar uma resposta 401, não há a necessidade de executar o resto da aplicação, então esta resposta é "curto-circuitada" para a saída da aplicação. Para isso, basta modificar levemente o código:
function auth ($request, $response, $next)
{
if (! Auth::validate()) {
return new Response(401, "Unauthorized");
}
return $next($request, $response);
}
Perceba que ao invés de apenas modificar o objeto $response
, a nova resposta é retornada, sem ter que executar os próximos middlewares, através de $next
. Desta forma, a representação gráfica fica desta forma:
Figura 2: Diagrama de blocos representando a organização de middlewares em pilha.
Perceba que o objeto Response
que é enviado à saída é o retorno do primeiro middleware, não mais do último, que é o que permite o curto-circuito da resposta.
Projetos que utilizam esta abordagem:
2. Single Pass
A abordagem single pass é bem parecida com a double pass, diferindo apenas que o objeto Response
não é passado como parâmetro:
function(request, next): response
Nesta abordagem, podemos definir que o middleware é definido como um objeto callable
(comumente como Closure), que recebe dois parâmetros:
request
: um objeto Request
;
next
: um objeto callable
que representa o próximo middleware;
Desta forma, cada middleware não tem acesso à resposta HTTP até que uma seja gerada pela aplicação, em middlewares mais internos. Isto é, nesta abordagem, somente é possível a estrutura em pilhas (Figura 2). A técnica de curto-circuito da resposta também pode ser aplicada nesta abordagem.
function auth ($request, $next)
{
if(! Auth::validate())
{
return new Response(401, "Unauthorized");
}
return $next($request);
}
Projetos que utilizam single pass:
Nota pessoal: Eu particularmente acho que faz muito mais sentido a abordagem single pass do que a double pass, pois, quando utilizado os middlewares junto com uma aplicação MVC, espera-se que o controlador gere a resposta final e sendo o middleware executado antes do controlador, não haverá uma resposta de entrada.
3. Middleware Interface
A PSR-10 definiu uma terceira abordagem baseada em uma interface para middlewares. Esta interface define apenas um método, chamado process
, com dois parâmetros: o objeto Request
e um objeto Delegate
, que representa os próximos middlewares. Como tal PSR ainda está em fase de rascunho, não há uma implementação oficial, então colocarei a minha como exemplo:
interface Middleware
{
/**
* Processa uma requisição HTTP de entrada e retorna uma resposta.
*
* O middleware é responsável por fazer o tratamento da requisição HTTP de
* entrada e retornar uma resposta. A resposta pode ser gerada pelo
* middleware ou o mesmo pode delegar o retorno ao próximo middleware da
* lista, através do objeto `$delegate`. Para o primeiro caso, quando o
* middleware gera a resposta retornada, todos os middlewares restantes na
* lista serão ignorados pela aplicação.
*
* @param Request $request Requisição a ser tratada pelo middleware.
* @param Delegate $delegate Instância de Delegate que controla os middlewares.
* @return Response Resposta gerada pelo middleware.
*/
public function process($request, $delegate);
}
Alguns comentários sobre esta abordagem:
Por quê não utilizar o método __invoke?
Nas abordagens anteriores, double pass e single pass, como os middlewares são definidos como closures, os mesmos podem ser implementados através de classes utilizando o método __invoke
, então a abordagem definida na PSR-10 optou por não utilizá-lo para não gerar conflitos e manter a forwards compatibility.
Por quê utilizar o nome process
para o método?
Algumas outras estruturas já existentes, principalmente relacionadas à arquitetura MVC, já possuem nomes semelhantes, tais como: __invoke
, como supracitado, handle
, como utilizado no HttpKernel
do Symfony, e dispatch
, como utilizado no DispatchableInterface
do Zend. Para não gerar conflito ou confusão com estas estruturas, optou-se pelo nome process
.
Mais detalhes podem ser encontrados direto na PSR-10, porém, para simplificar, o objeto Delegate
deve possuir pelo menos o método process
, que é análogo ao funcionamento do $next
nas abordagens anteriores. Um exemplo de middleware nesta abordagem seria:
class AuthMiddleware implements MiddlewareInterface
{
public function process($request, $delegate)
{
if (! Auth::validate()) {
return new Response(401, "Unauthorized");
}
return $delegate->process($request);
}
}
A representação gráfica desta abordagem é igual a da abordagem single pass, ilustrada na figura 2, portanto, também é permitido á técnica de curto-circuito da resposta, como apresentado no código acima.
Middleware e aplicações MVC
A grande maioria dos frameworks que utilizam o conceito de middleware já utilizavam a arquitetura MVC antes, então atualmente eles unem os dois conceitos, definindo os middlewares como componentes plugáveis à aplicação - isto é, você pode adicionar ou remover sem ter que modificar a lógica da sua aplicação em si. O Slim é um exemplo disso: utiliza a abordagem double pass em forma de pilha e centraliza a aplicação MVC no interior da mesma, como na figura abaixo:
Figura 3: Ilustração de como funciona a interação entre middlewares e aplicações MVC na grande maioria dos casos.
Superficialmente, podemos entender a aplicação MVC como um grande middleware, pois a entrada do mesmo é uma requisição HTTP e ele gera uma resposta adequada. O conceito de middleware, de fato, serve para delegar tarefas distintas à estruturas distintas. Por exemplo, a arquitetura MVC consegue criar um contexto para se trabalhar com rotas bem diversificadas, executando determinados controladores para cada rota existente, mas se for implementar regras de autenticação, controle de cachê, etc, a lógica do controlador começa a complicar em forma exponencial. Com o conceito de middleware você pode delegar a aplicação MVC fazer aquilo que ela faz melhor e delegar as lógicas de autenticação e controle de cachê a estruturas adaptadas para isso: os middlewares.