Как правильно сгенерировать API key в PHP? Какие лучше всего, предпочтительнее для разных задач, использовать методы генерации?
-
Какие требования к этому ключу?– tutankhamun14 дек 2015 в 9:58
-
Стандартные - уникальный ключ идентифицирующий учётную запись . Или может быть какие-то еще бывают? И если бывают, то какие?– user2294014 дек 2015 в 10:00
-
Цифры, буквы, спецсимволы, длина ключа, символы проверки (контрольная сумма). Ключ будет выслан на почту, вписан в скрипт и не будет меняться или его руками нужно будет вводить. Ньюансов может быть много. Я пока не сильно фантазировал– tutankhamun14 дек 2015 в 10:04
-
В данном случае интересует просто генерация без отправки на почту. Он будет отправляться пользователю при регистрации аккаунта в системе. Наверное лучше всего что бы состоял из цифр и букв. Ну можно или цифры или буквы. Спец. символов быть не должно. Длина ключа - 256 бит. Ну или может быть стандартная длина?– user2294014 дек 2015 в 10:07
2 ответа
Пока вопрос сформулирован очень обобщенно отвечу также обобщенно.
При генерации ключа необходимо определиться с его длиной, алфавитом и структурой.
- Длина должна обеспечивать уникальность ключа у каждого его держателя. Например если вы рассчитываете что ключей будет >1000, естественно нельзя его делать в виде трех цифр. Выбирайте длину также исходя из места хранения ключа. Кроме того, если нужна защита от перебора придется добавить достаточное количество информационного шума;
- Алфавит - это набор символов, который вы будете использовать в конечном строковом представлении ключа (например только цифры или цифры и латинские буквы). Наиболее простом путем будет использование шестнадцатеричных цифр, поскольку преобразование любой бинарной строки в шестнадцатеричный вид - тривиальная задача на любом языке программирования;
- Структура - наличие или отсутствие средств и полей для проверки валидности ключа без поиска его в базе (иногда может пригодиться), наличие символов, разделяющих ключ на группы (как в лицензионных ключах у некоторых производителей ПО).
В качестве источника случайной строки рекомендую считывать нужный кусок из устройства /dev/random
или /dev/urandom
, после можно дополнительно его хешировать криптографической хеш-функцией и выдавать в виде шестнадцатеричной строки
Самое простое - взять SHA256 (если надо именно 256 бит, хотя в большинстве случаев и просто md5 вполне должно хватить) от id юзера с рандомной солью и проверить на коллизию по базе - если нет, то все ок, если коллизит - еще разок генерим