0

Доброе время суток, господа
Вопрос следующий: как сделать защищенную систему лайков? (ведь через ajax может пойти их накрутка) Порывшись немного в кодах хэшкода, я нашел, что лайки ставятся тегам ссылок с атрибутом nofollow:

<a href="rate/200/up" rel="nofollow">Голосовать!</a>

А вот что дальше делать у меня ступор, господа. Как осуществить задуманное?
Вопрос стоит именно в безопасности. А как хранить-оно в принципе понятно. Что-то вроде таблицы likes в mysql с полями user и topic, чтобы был система 1пользователь-1лайк.
Или же есть более совершенный метод?

P.S. похоже, что спасает в самом начале скрипта такая фраза:

<?if (!isset($_SERVER['HTTP_X_REQUESTED_WITH'])) die('Хрен!');?>

Прав ли я?

2 ответа 2

2
  1. nofollow — это заголовок для роботов, чтобы они не ходили/не индексировали эти ссылки.
  2. На сервере 100% проверяется авторизация юзера
  3. Все запросы подписываются токеном, чтобы нельзя было накрутить при помощи скрытой картики. Статья на хабре.

P.S. В случае hashcode, все запросы имею дополнительный заголовок X-CSRFToken.

2
  • можете, пожалуйста, поподробней объяснить? а если хакер поставит этот заголовок? я как-то совсем не понял. обойтись <?if (!isset($_SERVER['HTTP_X_REQUESTED_WITH'])) die('Хрен!');?> нельзя?
    – Arc
    11 авг 2013 в 6:53
  • 1
    Почитайте статью, там всё понятно объяснено. CSRF token — это не просто заголовок, через него непосредственно передается уникальный токен, выделенный на сервере, а сревер получая этот токен, сверяет его и только в этому случае выполняет нужное действие.
    – RubaXa
    11 авг 2013 в 7:10
0

А в чем проблема. В таблице делаете ключевыми столбцы user-topic (что бы были Unique) и не беспокоитесь, один пользователь не поставит лайк более одного раза. Все остальное уже заморочки безопасности более высокого уровня, всей системы (что бы нельзя было зарегистрировать over 9000 пользователей-ботов, кстати, как вариант, привязка к телефону)

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.