Mikhail Osher

Phaser.

https://new.vk.com/dev/auth_sites

state - Произвольная строка, которая будет возвращена вместе с результатом авторизации.

В чем проблема сделать https? Куча мест, где можно получить бесплатный сертификат.

(Symfony || Spring) + (React || Angular 2).

Как при этом вынести настройки под конкретный сайт?

Хорошо бы это сделать через Laravel Package, используя Service Provider - будет конфигурация.

Как настроить автообновление?

Тут море вариантов, зависит от того, как деплой происходит итд.
3-5 сайтов - можно набросать bash скрипт, который после обновления этого модуля во всех сайтах обновит зависимости.

php.net/manual/en/function.random-bytes.php

Но там же много пробелов, а получается только один. И перед именем нет пробелов, хотя в коде есть. Не очень понимаю...

Specification.

https://github.com/sindresorhus/gulp-template

Смотрите логи сервера. mail queue итд.

Если хотите заниматься бэкендом серьезно - учите что-то из следующего:
- symfony/laravel
- spring/play

// EDIT

Мне не нравится JS на бэкенде, даже при наличии приятнейшего NPM. Callback/promise hell меня смущает (на бэке - но на фронте считаю цепочки promise вполне приемлимым).
В случае дикого желания писать на NodeJS - попробуйте SailsJS.

Bearer token.

Попробуйте reselect.

У вас регулярное выражение в кавычках, то есть ищется целая подстрока.
Попробуйте так:
" & ".replace(/[&.*;]/g, '');

https://github.com/PHPOffice/PHPWord

1) корректная настройка nginx на статические файлы
2) fingerprint в названии файлов при деплое

А лишняя запись в DNS - не "мусор"?
Вы слишком сильно заморачиваетесь.
Любой из этих способов имеет право на существование. Главное, файлы в индекс VCS не добавлять.

https://habrahabr.ru/post/106912/