2

Есть обычная авторизация через PHP:

Html форма с ссылкой на PHP файл, он проверять логин и хешированный пароль в БД, если всё сходится пишет в сессию логин и его ID в БД.

К клиенту подключен NodeJs через Socket.io, нужно передать данные NodeJs клиента, то есть его логин и ID в БД, так что бы нельзя было подделать, то есть тупо отправить не его данные через SocketIO.

У меня есть один вариант решения этой задачи:

При авторизации пользователя пишем в БД сгенерированный уникальный ключ (на основе microtime или ещё как), и Nod'у передавать этот уникальный ключ, который он найдёт в БД и возьмёт от туда данные о пользователи.

Возможно вы предложите более правильный вариант.

1
  • > При авторизации пользователя пишем в БД сгенерированный уникальный ключ (на > основе microtime или ещё как), и Nod'у передавать этот уникальный ключ, > который он найдёт в БД и возьмёт от туда данные о пользователи. Самый оптимальный вариант по-мне.
    – user195486
    22 ноя 2015 в 10:32

1 ответ 1

3

У вас по факту две проблемы: уникальная идентификация (аутентификация) пользователя и механизм сессий, читаемый из двух приложений.

Я хотел бы сначала немного задержаться на механизме сессий в PHP. Он очень прост: PHP выписывает (по умолчанию) куку PHPSESSID, в которую подставляет случайное значение, и потом читает/записывает данные из файла, название которого формируется все из того же случайного значения. Таким образом, механизм сессий в PHP сам по себе не защищен от того, что вы описываете в вопросе - можно подставить себе чужую куку, и система будет считать вас другим пользователем. Сами сессии пишутся через функцию serialize() (или аналог), в результате чего формат вывода может нативно считать только сам PHP. В то же время, PHP предоставляет возможность установить свой обработчик сессий, и писать их, куда угодно - это может пригодиться, но об этом ниже.

Таким образом, надо создать механизм, записывающий и читающий сессию вне зависимости от использующего его приложения. Здесь может быть множество вариантов, но я бы предложил использовать для этого Redis с включенным AOF (эта страшная аббревиатура просто означает, что раз в N минут данные будут записываться на диск). Redis - это такой сетевой кэш-сервис, который, во-первых, обеспечит вам (относительно) мгновенную работу (уж всяко быстрее работы с файлами), во-вторых, позволит обновлять только отдельные ключи вместо всей сессии целиком, в-третьих, сам будет удалять устаревшие сессии. У этого подхода есть свои минусы, но он гарантирует огромную пропускную способность и доступность из всех сервисов сразу. В качестве альтернативы могу еще порекомендовать Couchbase, в которой также можно указать время истечения срока годности записи, но там своя специфика, и сложность (и, соответственно, время внедрения) Couchbase несколько выше, чем Redis. Ну и, наконец, никто не запрещает писать прямо в SQL-базу в формате json, но лично мне такой вариант очень сильно не нравится.

Кроме этого, есть еще микросервисный подход, который заключается в том, что одно из приложений отдает и записывает сессию по предоставляемому вторым приложением ID. На PHP такая реализация может быть проста до невозможности:

<?php
session_start();
echo json_encode($_SESSION);

В этом случае приложение на NodeJS при необходимости получить сессию просто делает обычный HTTP-запрос к PHP-приложению, подставляя необходимую куку в запрос. Минусы такого подхода очевидны: нужно позаботиться, чтобы доступ к этому URL был только у приложения, но не у пользователей, появляется проблема с идентификацией по IP (об этом чуть ниже).

Вторая озвученная проблема несколько сложней. Пользователя в вебе идентифицировать практически невозможно: версия браузера рано или поздно сменится, айпи может быть динамическим и потому меняться на лету, кроме конкретного названия браузера в User-Agent у пользователя нет ничего постоянного (и тот можно легко подделать), поэтому остается только довериться варианту с передачей некоторого уникального значения через куки и максимально усложнить жизнь для тех, кто их крадет. Первое, что приходит в голову - писать в сессию некоторую информацию о пользователе и проверять ее при чтении сессии, но, как я описывал выше, кроме названия браузера ее де-факто нет, да и если кто-то перехватил запрос пользователя, то он сможет сымитировать абсолютно идентичный последующий запрос. Поэтому первое, что стоит сделать - это обеспечить невозможность перехвата запроса путем установки доступа к сайту исключительно через HTTPS. В этом случае весь трафик будет шифроваться, и злоумышленник просто не сможет украсть чужой токен доступа.

И, наконец, пару слов про токен доступа. Он должен быть достаточно длинным, чтобы нивелировать возможность брутфорса, и должен быть сгенерирован на основе CSPRNG - криптографически стойкой случайной величины. Ваш microtime здесь не подойдет просто по той причине, что есть вероятность генерации двух идентификаторов на основе одного и того же числа, что если не создает возможность коллизии, то дает злоумышленнику возможность сгенерировать идентичный токен. насколько понимаю, самое верное решение - это использование UUID (но перед использованием, конечно, нужно убедиться, что реализация использует CSPRNG). Про то, что случается, когда для таких вещей используется просто PRNG, можно почитать в этой волшебной статье.

Резюмируя: ваша задача бьется на две, одна из которых - вынесение сессий в хранилище, так или иначе доступное всем приложениям, причем сам доступ в хранилище не должен ограничиваться напрямую, а вторая задача - задача идентификации пользователя, которая в финале все равно сводится к обмену пары логин-пароль на токен доступа, и проще всего просто защититься с помощью HTTPS.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.