0

Хочу защититься от перебора, но не могу найти правил хорошего тона как это сделать, кроме rand ничего путного в голову не приходит.

"user_id_" . rand() 

Но как то слишком очевидно что ли.

6
  • 3
    uuid, например
    – Nofate
    7 июл 2014 в 19:13
  • @dimka3210, случайная величина нормально защитит от перебора, если сделать ее достаточно длинной. Можно делать хэш от кучи параметров, включая рандом, айпишник, серверное время, браузер пользователя - без явного знания алгоритма его будет сложно подобрать, плюс сам рандом внесет защиту от воссоздания хэша по известным параметрам.
    – etki
    7 июл 2014 в 19:13
  • @Etki, пользователей отпугивают нечитаемые строки. Хеш - слишком много байт для id. Если только не брать кусочек хеша. Например 6-8 символов. Но хотелось бы как нибудь интами (int) рулить. Да и как это лучше делать то? Две колонки в базе или одна но строкой и на неё индекс уникальности вешать? | 123 | 567 | против | '123_567' |
    – dlarchikov
    7 июл 2014 в 19:20
  • up up up up
    – dlarchikov
    9 июл 2014 в 19:28
  • 1
    А что за перебор? Ну переберет злоумышленник и найдет живой id, а дальше то что? Как то торможу. Приведите конкретный кейс атаки.
    – Barmaley
    10 июл 2014 в 7:18

3 ответа 3

3

А можно просто подобрать функцию, которая однозначно будет преобразовывать id. Наружу выдавать преобразованный. Самая простая функция - переставлять биты местами. Но можно пойти дальше. Навряд ли будет 4млд пользователей, поэтому два бита отводим для контрольной суммы (они могут быть и в по середине). Специальный код следит за тем, что бы контрольная сумма совпадала. Если нет - ставит аккуратно бан.

2

Математика вам в помощь. Пример для PostgreSQL:

CREATE TABLE t1 (
    id BIGINT NOT NULL DEFAULT ((((nextval('t1_id_seq'::regclass))::numeric * 
                (678223072849::bigint)::numeric) 
                % ((1000000000)::bigint)::numeric) 
                + (<SOME_OFFSET_VALUE>::bigint)::numeric)
);

Это биективное отображение N -> N для всех N от 0 до 999999999. На вид выглядит как выбор случайных чисел.

1
  • 2
    Откуда взялось 678223072849?
    – dlarchikov
    20 фев 2015 в 20:02
2

можно сгенерить таблицу с последовательными id, перемешать ее, перенумеровать, потом брать их оттуда

real_id | random_id
1       | 1234432
2       | 5645234

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.