2

Недавно ВК запустила "Приложения для сообществ". Обычный iframe, на адрес iframe передаются гет-параметры с id юзера, и другая инфа...

Для безопасности мне нужно удостовериться, что эти гет-параметры не подделаны пользователем. В документации кажется есть решение этого:

Среди параметров запуска передаётся sign — подпись запроса. С её помощью Вы можете удостовериться, что данные запроса не были подменены на стороне клиента.

Пример кода на языке PHP для проверки подписи запроса:

$sign = ""; 

foreach ($request->getParams() as $key => $param) { 

    if ($key == 'hash' || $key == 'sign') continue; 

    $sign .=$param; 

} 

$secret = 'SECRET_KEY'; 

$sig = $secret ? hash_hmac('sha256', $sign, $secret) : "";

Этот код создает переменную $sign, потом пробегается по всем гет параметрам, пропуская hash и sign, а остальные записывает в $sign. Далее в $sig записывается sha256 значений гет параметров, c использованием ключа из $secret; Я все сделал также, но при сравнении $sig и гет-параметра sign строки не совпадают. Я что-то не так сделал?

3
  • Я все сделал также -- SECRET_KEY-то заменили на свой, я надеюсь? А то из вопроса это не очевидно.
    – user181100
    31 окт 2016 в 14:08
  • Да, конечно изменил, из настроек приложения
    – Коля
    31 окт 2016 в 14:13
  • Тут может быть много разных тонкостей, возьмите сниффер и посмотрите в каком месте расхождения. Чаще всего проблема в кодировке, например берут hash от Unicode строки
    – Isaev
    3 ноя 2016 в 13:40

1 ответ 1

0

Не совпадают хэши, что делать ?


Столкнулся с аналогичной проблемой.
Решение проблемы легко.
Разбираем URL и указываем константу PHP_URL_QUERY.

$url = "https://$_SERVER[HTTP_HOST]$_SERVER[REQUEST_URI]";
$parsed_url = parse_url($url, PHP_URL_QUERY);   

Константа PHP_URL_QUERY означает что мы "вытаскиваем" все после знака ?
После разбиваем на ассоциативный массив содержимое $parsed_url функцией parse_str.

parse_str($parsed_url,$request);

Теперь в переменной $request хранится ассоциативный массив, которую мы будем прогонять через цикл(который был показан в документации).

$sign = ""; 
foreach ($request as $key => $param) { 

    if ($key == 'hash' || $key == 'sign') continue; 

    $sign .=$param; 

} 
$secret = 'Защищенный_Ключ'; 
$sig = $secret ? hash_hmac('sha256', $sign, $secret) : ""; 
$result = ($sig === $_GET['sign']) ? "Сходятся" : "Не сходятся";

Итог


Результат

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.