0

Хочу защититься от перебора, но не могу найти правил хорошего тона как это сделать, кроме rand ничего путного в голову не приходит.

"user_id_" . rand() 

Но как то слишком очевидно что ли.

6
  • 3
    uuid, например
    – Nofate
    7 июл 2014 в 19:13
  • @dimka3210, случайная величина нормально защитит от перебора, если сделать ее достаточно длинной. Можно делать хэш от кучи параметров, включая рандом, айпишник, серверное время, браузер пользователя - без явного знания алгоритма его будет сложно подобрать, плюс сам рандом внесет защиту от воссоздания хэша по известным параметрам.
    – etki
    7 июл 2014 в 19:13
  • @Etki, пользователей отпугивают нечитаемые строки. Хеш - слишком много байт для id. Если только не брать кусочек хеша. Например 6-8 символов. Но хотелось бы как нибудь интами (int) рулить. Да и как это лучше делать то? Две колонки в базе или одна но строкой и на неё индекс уникальности вешать? | 123 | 567 | против | '123_567' |
    – dlarchikov
    7 июл 2014 в 19:20
  • up up up up
    – dlarchikov
    9 июл 2014 в 19:28
  • 1
    А что за перебор? Ну переберет злоумышленник и найдет живой id, а дальше то что? Как то торможу. Приведите конкретный кейс атаки.
    – Barmaley
    10 июл 2014 в 7:18

3 ответа 3

3

А можно просто подобрать функцию, которая однозначно будет преобразовывать id. Наружу выдавать преобразованный. Самая простая функция - переставлять биты местами. Но можно пойти дальше. Навряд ли будет 4млд пользователей, поэтому два бита отводим для контрольной суммы (они могут быть и в по середине). Специальный код следит за тем, что бы контрольная сумма совпадала. Если нет - ставит аккуратно бан.

2

Математика вам в помощь. Пример для PostgreSQL:

CREATE TABLE t1 (
    id BIGINT NOT NULL DEFAULT ((((nextval('t1_id_seq'::regclass))::numeric * 
                (678223072849::bigint)::numeric) 
                % ((1000000000)::bigint)::numeric) 
                + (<SOME_OFFSET_VALUE>::bigint)::numeric)
);

Это биективное отображение N -> N для всех N от 0 до 999999999. На вид выглядит как выбор случайных чисел.

1
  • 2
    Откуда взялось 678223072849?
    – dlarchikov
    20 фев 2015 в 20:02
2

можно сгенерить таблицу с последовательными id, перемешать ее, перенумеровать, потом брать их оттуда

real_id | random_id
1       | 1234432
2       | 5645234

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.