Laravel 2026: la guida completa per sviluppare con il framework PHP più potente

Gli strumenti ufficiali: code, real-time, monitoraggio e prestazioni

Uno dei motivi per cui Laravel piace è che le esigenze ricorrenti hanno già uno strumento ufficiale. Quattro meritano di essere conosciuti, ognuno con la sua trappola.

Horizon per le code

Horizon ti dà una dashboard e una configurazione in codice per le code Redis. Funziona solo con Redis e, al momento, non è compatibile con Redis Cluster. La dashboard è aperta in locale ma in produzione resta chiusa finché non definisci il gate viewHorizon. Un dettaglio che sorprende: con il bilanciamento auto l’ordine in cui elenchi le code non crea nessuna priorità. Se ne vuoi una, servono più supervisor, ciascuno con le sue risorse.

Reverb per i WebSocket

Reverb è il server WebSocket ufficiale, si installa con php artisan install:broadcasting e si integra con il broadcasting del framework. Il limite da conoscere riguarda l’event loop di default, che regge in genere circa 1.024 file aperti. Oltre le mille connessioni concorrenti serve l’estensione ext-uv, e per andare oltre un singolo server si scala in orizzontale mettendo Redis al centro.

Pulse per il monitoraggio

Pulse è il cruscotto d’insieme: mostra server, utenti più attivi, eccezioni, code, richieste e query lente. Una richiesta, un job o una query è “lenta” oltre i 1.000 millisecondi, e la soglia si alza per singolo job, così un report annuale che dura cinque secondi per natura non riempie la dashboard di falsi allarmi. Se non riesce a scrivere, Pulse fallisce in silenzio per non appesantire l’applicazione che osserva. Per indagare un singolo evento la documentazione rimanda a Telescope.

Octane per le prestazioni

Octane avvia l’applicazione una volta sola e la tiene in memoria tra una richiesta e l’altra, appoggiandosi a FrankenPHP, Swoole o RoadRunner. Il guadagno si paga in disciplina: il processo non muore più, quindi un container o una request iniettati nel costruttore di un singleton restano quelli vecchi, e un array statico che cresce a ogni chiamata non si svuota. Per limitare i danni ogni worker viene riavviato dopo 500 richieste, e dopo un deploy serve php artisan octane:reload.

Laravel e intelligenza artificiale: cosa cambia per chi sviluppa

L’AI in Laravel 13 passa da tre strade diverse, e conviene non confonderle.

La prima è l’AI SDK ufficiale, un’API unica per generare testo, costruire agenti con tool, creare embedding, audio e immagini e collegarsi a un vector store. Il vantaggio è poter scrivere funzioni AI senza legarle a un solo provider. Rispetto agli altri framework gratuiti per creare agenti AI, qui l’agente vive dentro il ciclo di vita dell’applicazione, con tutto ciò che ne consegue per i permessi: un agente con dei tool esegue azioni vere partendo da testo che arriva da fuori, ed è il terreno classico della prompt injection.

Un’altra novità è la ricerca vettoriale nel query builder. Con whereVectorSimilarTo() interroghi una colonna di embedding, e gli embedding si generano direttamente da una stringa con Str::of(…)->toEmbeddings(). Il supporto documentato è per PostgreSQL con l’estensione pgvector.

L’ultima guarda dall’altra parte: Laravel Boost serve agli agenti che scrivono il tuo codice. Si installa come dipendenza di sviluppo e dà all’agente linee guida, skill, un server MCP e un’API di documentazione con oltre 17.000 voci, specifiche per le versioni dei pacchetti che usi. La documentazione definisce Laravel “agent ready”, e il ragionamento è convincente: con una struttura così prevedibile, un agente a cui chiedi un controller sa già dove metterlo.

Cosa puoi costruire: API, autenticazione e frontend

Per le API, Laravel 13 include risorse JSON:API che gestiscono serializzazione, relazioni, sparse fieldset e link secondo la specifica. Per l’autenticazione, Sanctum copre token e sessione, mentre Fortify si occupa di registrazione, reset della password, verifica dell’email, doppio fattore e passkey. I due non si escludono: spesso li usi insieme.

Sul frontend le strade documentate sono due. Puoi renderizzare con Blade e aggiungere interattività con Livewire, oppure appoggiarti a Inertia con un frontend JavaScript. Gli starter kit ufficiali ti danno già l’autenticazione impostata, e per compilare CSS e JavaScript si usa Vite.

Cosa controllare prima di andare in produzione

La sicurezza di un’applicazione Laravel è fatta soprattutto di configurazione. APP_DEBUG deve essere false, perché con il debug acceso rischi di mostrare agli utenti valori di configurazione sensibili. Il web server deve puntare a public/index.php e mai alla radice del progetto, e solo storage e bootstrap/cache hanno bisogno di permessi di scrittura. Le dashboard di Horizon e Pulse restano chiuse finché non definisci i loro gate. Non è una checklist completa: per XSS, SQL injection e mass assignment si parte dalla documentazione della versione che usi.

A ogni deploy lancia php artisan optimize, che mette in cache configurazione, eventi, rotte e view. C’è una trappola da conoscere: con la cache di configurazione attiva il file .env non viene più caricato, e ogni env() chiamata fuori dai file di config restituisce null. È il genere di bug che funziona sul tuo portatile e smette di funzionare il venerdì pomeriggio.

Resta il capitolo dei processi di lunga durata. Queue worker, Reverb e Octane continuano a servire il codice vecchio finché non li riavvii, e php artisan reload li ferma tutti insieme. Su Laravel Cloud non serve, perché se ne occupa la piattaforma. Per i controlli di stato Laravel espone di default la rotta /up, che risponde 200 se l’applicazione parte senza eccezioni e 500 in caso contrario. Se non vuoi gestire i server, le opzioni ufficiali sono Laravel Cloud, con calcolo, database, cache e storage gestiti, e Laravel Forge, che amministra i tuoi VPS al posto tuo.

 

Meglio Laravel o un’alternativa? I suggerimenti di Data Masters

Un confronto con gli altri framework richiederebbe dati che non abbiamo verificato, quindi non lo facciamo. Possiamo dirti cosa ottieni scegliendo Laravel: convenzioni che riducono le decisioni da prendere, code, real-time, monitoraggio e hosting dallo stesso fornitore e un calendario di supporto che conosci con largo anticipo. Il rovescio è che dipendi dalle scelte di quel fornitore.

Il resto dipende da due cose, cosa sa già il tuo team e quanto deve durare il progetto. Se deve restare in piedi più di diciotto mesi, parti da Laravel 13. Se hai già un’applicazione, controlla il numero nel composer.json prima di aprire qualsiasi altro file.

Se vuoi costruire applicazioni con agenti AI e recupero dei dati, l’AI Agentic Applications Masterclass è il percorso più avanzato del nostro catalogo su questo tema: 18 ore in diretta, con un blocco dedicato a embedding, vector store e tecniche di recupero.