Здравствуйте.
Есть сайт(сервис) по предоставлению услуг, внутри сайта есть личный кабинет пользователя, с его историей заказов, статусами заказов, историей оплаты и т.д.
Необходимо сделать API, которым бы пользовалось android приложение.
Как я начал делать, при авторизации с приложения делаю запрос к API такого плана:
/api/?user.checkAuth={"login":"admin", "pass":"md5('.....)"}
проверяю правильный ли хеш.
А дальше генерирую случайную строку и сохраняю ее на сервере в паре СТРОКА - ПОЛЬЗОВАТЕЛЬ, так же отсылаю ее в ответ приложению, те эдакий сессионный токен, который знаю я, и знает приложение.
Далее приложение запрашивает список заказов, передавая мне только то, что знает, те токен, который я выдал при авторизации.
Запрос на список заказов:
/api/?user.getUserOrders={"token":"29db74ae5302f6fafa75428ada7f1871"}
на стороне сервера я принимаю токен, смотрю есть ли такой токен вообще к какому пользователю он привязан, и если все окей, то возвращаю JSON с заказами.
Тут первый вопрос, я двигаюсь в правильном направлении? и вытекающая проблема из текущей реализации:
- есть у пользователя телефон и планшет с приложением;
- он авторизовался на телефоне - получил токен - пользуется;
- заходит с планшета - получает токен, КОТОРЫЙ ПЕРЕЗАПИСЫВАЕТСЯ если уже привязан к какому-то пользователю - пользуется.
Вот тут и проблема, теперь если пользователь зайдет со своего телефона в приложение и попытается что-то запросить, передав токен с который сохранен в телефоне, то этот токен мы уже не найдем (т.к. перезаписали пару пользователь-токен при авторизации с планшета) и соответственно кинем его на страницу авторизации, для получения токена... и так до бесконечности, пользователь может работать только с 1ого устройста...
Как решить эту проблему, те сохранить безопасность, работая с токенами, и дать пользователю возможность иметь несколько токенов?
Чем-то грозит реализация, такая, что один user_id
может иметь несколько токенов?
Как организовать сброс этих токенов и нужен ли он?
Заранее благодарен за помощь.