Padrões de código

Organização

Não colocar SQL em controller.
Não colocar regra de negócio em view.
Não acoplar tela diretamente ao banco.

Convenção

Controller → HTTP
Service → negócio
Repository → persistência
nomes claros
escaping e validação sempre