0

Несколько php скриптов представляет собой API. Пользователь, чтобы получить ответ, должен отправить два запроса (их требует специфика приложения).

  • 1 запрос: будет создан ключ
  • 2 запрос: используя ключ будет полученные данные.

Сейчас работает так:

  • после создания ключа он записывается в базу данных.
  • второй запрос ищет его в базе. Если найдет - удаляет и проходит дальнейшая обработка данных, иначе ошибка.

Кроме того, ключ валидный всего несколько минут. Здесь проблема: пользователь может отправлять запросы только первого типа и тогда база ключей будет постоянно нарастать. Конечно, сейчас реализована cron задача по удалению лишних ключей.

Можно ли использовать сессии в этом случаи, чтобы избежать базы ключей?

Забегая наперед скажу, что пользовательская часть будет написанная на С++. Как получить идентификатор сессии, чтобы используясь его отправить второй запрос (GET/POST)?

8
  • Идентификатор сессии пользователю посылайте в куках. Собственно там и берите. Как именно будете это делать - а кто его знает, все сильно зависит от того, какими библиотеками будете пользоваться. А вот для хранения ключей можно использовать memcache или redis. Там удаление устаревших данных - встроенная функция. То есть, добавляете memcache ключ и говорите - хранить две минуты. И все готово. Хотя можно ключи совсем не хранить, а шифровать время создания. По получению - декодировать. Если все правильно сделать - будет легко. но немного уязвимо.
    – KoVadim
    Commented 31 июл. 2014 в 15:03
  • @KoVadim подключать целую библиотеку ради 1 функции не очень хочется. Шифрования даты возьму на заметку. А почему будет уязвимо?
    – dal
    Commented 31 июл. 2014 в 15:14
  • redis/memcache - это не библиотека:) погуглите. Но возможно (попахивает преждевременной оптимизацией), что memcache понадобиться в будущем. А шифрование будет уязвимо, если его вскроют. Но это зависит от надобности Вашего проекта.
    – KoVadim
    Commented 31 июл. 2014 в 15:19
  • @KoVadim спасибо.
    – dal
    Commented 31 июл. 2014 в 15:34
  • @KoVadim заметил большую дыру в методе через шифровку. Как я сказал ключ действует несколько минут. Если после первого запроса получить шифрованный ключ (я шифровал время и ip), то им можно пользоваться (отправлять запрос второго вида) много раз на протяжении нескольких минут. Второй запрос, кроме получения, записывает информацию в базу, которую уже не можно удалять через cron. В результате неправильных данных еще больше.
    – dal
    Commented 2 авг. 2014 в 12:36

1 ответ 1

1

Не желательно использовать куки, иначе от API не будет смысла по логике. А вообще лучше бы конечно объединить ваши 2 шага в один, или как в ВК, использовать один токен.

2
  • @Manitikyl два шага требуется. Буду шифровать данные.
    – dal
    Commented 31 июл. 2014 в 15:39
  • В любом случае это БД. БД для того и создавалось чтобы работать с множеством данным и динамически добавлять/удалять, не думаю что вы сумеете нагрузить так сильно свою БД. Поэтому желательно оставьте как есть, данный алгоритм вполне приемлемый.
    – Manitikyl
    Commented 31 июл. 2014 в 16:51

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.