Rute, controllere, API Resources

În Laravel, rutele de API stau în `routes/api.php` (prefixate automat cu `/api`). Controllerele de API întorc date, nu vederi. API Resources transformă modelele Eloquent în structura JSON exactă pe care vrei s-o expui — un strat de traducere între baza de date și API.

Rute de API

// routes/api.php
Route::prefix("v1")->group(function () {
    Route::apiResource("articole", ArticolController::class);
    // GET/POST /api/v1/articole, GET/PUT/DELETE /api/v1/articole/{articol}
});

Controller de API

class ArticolController extends Controller
{
    public function index()
    {
        return ArticolResource::collection(
            Articol::with("autor")->latest()->paginate(15)
        );
    }

    public function store(ArticolRequest $request)
    {
        $articol = Articol::create($request->validated());
        return (new ArticolResource($articol))
            ->response()
            ->setStatusCode(201);
    }

    public function show(Articol $articol)
    {
        return new ArticolResource($articol->load("autor"));
    }

    public function destroy(Articol $articol)
    {
        $articol->delete();
        return response()->noContent();   // 204
    }
}

API Resource

class ArticolResource extends JsonResource
{
    public function toArray($request): array
    {
        return [
            "id" => $this->id,
            "titlu" => $this->titlu,
            "slug" => $this->slug,
            "continut" => $this->continut,
            "publicat_la" => $this->publicat_la?->toIso8601String(),
            "autor" => new UtilizatorResource($this->whenLoaded("autor")),
        ];
    }
}

De ce Resources

• Controlezi exact ce câmpuri expui (nu scapi accidental parole, note interne).
• Formatezi consecvent (date ISO 8601, numere ca numere).
• whenLoaded() include relații doar dacă au fost eager-loaded — fără N+1.
• Schimbi structura API fără să atingi modelele.

Includerea condiționată

return [
    "id" => $this->id,
    "titlu" => $this->titlu,
    // doar pentru admin:
    "note_interne" => $this->when($request->user()?->isAdmin(), $this->note_interne),
    // doar dacă relația e încărcată:
    "comentarii" => ComentariuResource::collection($this->whenLoaded("comentarii")),
];

Exercițiu

Construiește un apiResource complet pentru articole: rute în api.php sub /v1, controller care întoarce Resources, un ArticolResource care expune doar câmpurile publice și include autorul cu whenLoaded. Testează cu un client HTTP (Postman, curl, sau .http în editor).

Greșeli frecvente

• Întorci direct modelul Eloquent (expui toate coloanele, inclusiv cele sensibile).
• Uiți ->response()->setStatusCode(201) la creare și întorci 200.
• Incluzi relații fără whenLoaded și reintroduci N+1.
• Pui logică de business în Resource (e doar transformare de date).

De reținut

• routes/api.php + apiResource() pentru CRUD REST.
• Controllerele de API întorc Resources, nu vederi.
• Resource = strat de traducere model → JSON, cu câmpuri controlate.
• whenLoaded() și when() pentru includere condiționată.

Pe scurt

apiResource + JsonResource îți dau un API curat: rute convenționale, răspunsuri controlate, fără scurgeri de date și fără N+1.

public function toArray(Request $request): array {
  return [
    'id' => $this->id,
    'service' => $this->service,
    'status' => $this->status,
    'created_at' => $this->created_at?->toISOString(),
  ];
}
Controller: return new ServiceRequestResource($serviceRequest);
Nu include: note interne, tokenuri, email fără necesitate.

Documentație și surse

• Documentația Laravel 11 — versiunea aplicației demonstrative — Laravel
• OWASP Top 10 — OWASP