3

Добрый вечер.

Расскажите, пожалуйста, как организовать сабж. Что хранить в базе, что держать в куках и как организовать авторизацию. Можно без кода - на словах. На всякий случай - пишу на PHP.

Заранее спасибо.

2 ответа 2

5

Пришёл новый чел, авторизуете его через ВК (см. Виджет Авторизации), получая от ВК напрямую в ваш сервер подтверждение, что этот клиент действительно Вася с ID 12345. Генерите для Васи запись у себя в БД, в том числе некий уникальный ключ, а ему ставите куки с этим ключем.

В следующий раз придёт - если есть куки, соотв. записи в вашей БД - это видимо, Вася.

5
  • Все эти данные, получается, можно взять из открытого доступа и просто подобрать алгоритм шифрования уникального ключа - а затем и куки подменить. Первое правило криптографии: учитывать, что у злоумышленника уже имеется алгоритм шифрования. Я думал эта проблема более-менее решена, поэтому хотел узнать, как это всё делается.
    – andrewshka
    29 янв 2013 в 13:15
  • Прочитайте же про виджет и протокол. Полученный ответ вы проверяете по цифровой подписи на основе секретного ключа вашего сайта в ВК. А с куки надёжность приемлемая для большинства веб приложений. Даже если взять простейший вариант: в БД случайный набор символов в качестве "ключа", и в куки md5() от него, и ID пользователя. Простой перебор — весь арсенал взломщика, который займёт его на пару вечностей : ) $randkey = md5( microtime(TRUE) . 'SecretServerKey'); // его в базу $cookie = $user_id . ':' . md5($randkey); // в куки
    – Sergiks
    29 янв 2013 в 13:38
  • Этот способ очевиден, я думал, может есть что-то такое, чего я не нагуглил и о чём не слышал. Вопрос висит уже два дня, думаю уже бы заминусовали и тыкнули носом в ссылку какую-нибудь :) В общем - спасибо.
    – andrewshka
    29 янв 2013 в 13:44
  • Попробуйте на StackOverflow поинтересоваться ; )
    – Sergiks
    29 янв 2013 в 13:54
  • Виджет авторизации ВК лучше не использовать. Он очень глючный.
    – Vadym
    25 янв 2018 в 0:22
0

Воспользуйтесь уже готовыми решениями, например http://ulogin.ru/constructor.php На странице справки, в разделе "Настройки виджета" -> "Информация о пользователе" найдете все данные, которые можно выудить из соц сети про данного пользователя, от имени, почты, до пола и возраста (если конечно есть такие). Дальше - как при обычной авторизации через логин форму - ставите куку после авторизации, и понеслась. Или делаете что-то типа авторегистрации (минимально необходимые данные уже ведь есть) и если чего-то нехватает, можете перебрасывать пользователя на профиль и пусть дозаполняет то, что осталось в неведении. При этом, раз пользователь фактически не вводит пароль, то можно ему сгенерить какой-нибудь достаточно стойкий из вида "!k2j$4#(Dk)543\bls"

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.