0

Несколько php скриптов представляет собой API. Пользователь, чтобы получить ответ, должен отправить два запроса (их требует специфика приложения).

  • 1 запрос: будет создан ключ
  • 2 запрос: используя ключ будет полученные данные.

Сейчас работает так:

  • после создания ключа он записывается в базу данных.
  • второй запрос ищет его в базе. Если найдет - удаляет и проходит дальнейшая обработка данных, иначе ошибка.

Кроме того, ключ валидный всего несколько минут. Здесь проблема: пользователь может отправлять запросы только первого типа и тогда база ключей будет постоянно нарастать. Конечно, сейчас реализована cron задача по удалению лишних ключей.

Можно ли использовать сессии в этом случаи, чтобы избежать базы ключей?

Забегая наперед скажу, что пользовательская часть будет написанная на С++. Как получить идентификатор сессии, чтобы используясь его отправить второй запрос (GET/POST)?

8
  • Идентификатор сессии пользователю посылайте в куках. Собственно там и берите. Как именно будете это делать - а кто его знает, все сильно зависит от того, какими библиотеками будете пользоваться. А вот для хранения ключей можно использовать memcache или redis. Там удаление устаревших данных - встроенная функция. То есть, добавляете memcache ключ и говорите - хранить две минуты. И все готово. Хотя можно ключи совсем не хранить, а шифровать время создания. По получению - декодировать. Если все правильно сделать - будет легко. но немного уязвимо.
    – KoVadim
    31 июл 2014 в 15:03
  • @KoVadim подключать целую библиотеку ради 1 функции не очень хочется. Шифрования даты возьму на заметку. А почему будет уязвимо?
    – dal
    31 июл 2014 в 15:14
  • redis/memcache - это не библиотека:) погуглите. Но возможно (попахивает преждевременной оптимизацией), что memcache понадобиться в будущем. А шифрование будет уязвимо, если его вскроют. Но это зависит от надобности Вашего проекта.
    – KoVadim
    31 июл 2014 в 15:19
  • @KoVadim спасибо.
    – dal
    31 июл 2014 в 15:34
  • @KoVadim заметил большую дыру в методе через шифровку. Как я сказал ключ действует несколько минут. Если после первого запроса получить шифрованный ключ (я шифровал время и ip), то им можно пользоваться (отправлять запрос второго вида) много раз на протяжении нескольких минут. Второй запрос, кроме получения, записывает информацию в базу, которую уже не можно удалять через cron. В результате неправильных данных еще больше.
    – dal
    2 авг 2014 в 12:36

1 ответ 1

1

Не желательно использовать куки, иначе от API не будет смысла по логике. А вообще лучше бы конечно объединить ваши 2 шага в один, или как в ВК, использовать один токен.

2
  • @Manitikyl два шага требуется. Буду шифровать данные.
    – dal
    31 июл 2014 в 15:39
  • В любом случае это БД. БД для того и создавалось чтобы работать с множеством данным и динамически добавлять/удалять, не думаю что вы сумеете нагрузить так сильно свою БД. Поэтому желательно оставьте как есть, данный алгоритм вполне приемлемый.
    – Manitikyl
    31 июл 2014 в 16:51

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.