3

Добрый вечер.

Расскажите, пожалуйста, как организовать сабж. Что хранить в базе, что держать в куках и как организовать авторизацию. Можно без кода - на словах. На всякий случай - пишу на PHP.

Заранее спасибо.

2 ответа 2

5

Пришёл новый чел, авторизуете его через ВК (см. Виджет Авторизации), получая от ВК напрямую в ваш сервер подтверждение, что этот клиент действительно Вася с ID 12345. Генерите для Васи запись у себя в БД, в том числе некий уникальный ключ, а ему ставите куки с этим ключем.

В следующий раз придёт - если есть куки, соотв. записи в вашей БД - это видимо, Вася.

5
  • Все эти данные, получается, можно взять из открытого доступа и просто подобрать алгоритм шифрования уникального ключа - а затем и куки подменить. Первое правило криптографии: учитывать, что у злоумышленника уже имеется алгоритм шифрования. Я думал эта проблема более-менее решена, поэтому хотел узнать, как это всё делается.
    – andrewshka
    29 янв 2013 в 13:15
  • Прочитайте же про виджет и протокол. Полученный ответ вы проверяете по цифровой подписи на основе секретного ключа вашего сайта в ВК. А с куки надёжность приемлемая для большинства веб приложений. Даже если взять простейший вариант: в БД случайный набор символов в качестве "ключа", и в куки md5() от него, и ID пользователя. Простой перебор — весь арсенал взломщика, который займёт его на пару вечностей : ) $randkey = md5( microtime(TRUE) . 'SecretServerKey'); // его в базу $cookie = $user_id . ':' . md5($randkey); // в куки
    – Sergiks
    29 янв 2013 в 13:38
  • Этот способ очевиден, я думал, может есть что-то такое, чего я не нагуглил и о чём не слышал. Вопрос висит уже два дня, думаю уже бы заминусовали и тыкнули носом в ссылку какую-нибудь :) В общем - спасибо.
    – andrewshka
    29 янв 2013 в 13:44
  • Попробуйте на StackOverflow поинтересоваться ; )
    – Sergiks
    29 янв 2013 в 13:54
  • Виджет авторизации ВК лучше не использовать. Он очень глючный.
    – Vadym
    25 янв 2018 в 0:22
0

Воспользуйтесь уже готовыми решениями, например http://ulogin.ru/constructor.php На странице справки, в разделе "Настройки виджета" -> "Информация о пользователе" найдете все данные, которые можно выудить из соц сети про данного пользователя, от имени, почты, до пола и возраста (если конечно есть такие). Дальше - как при обычной авторизации через логин форму - ставите куку после авторизации, и понеслась. Или делаете что-то типа авторегистрации (минимально необходимые данные уже ведь есть) и если чего-то нехватает, можете перебрасывать пользователя на профиль и пусть дозаполняет то, что осталось в неведении. При этом, раз пользователь фактически не вводит пароль, то можно ему сгенерить какой-нибудь достаточно стойкий из вида "!k2j$4#(Dk)543\bls"

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.