1

Имеем сайт: (например)site.com. Имеем site.com/auth.php в котором мы получаем login/pass методом GET/POST.

site.com будет обращаться к своему же API посредством JS/Angular 2, т.е. та же авторизация будет происходит через обращение http Angular`a на url site.com/auth.php. Так же хочу сделать android приложение для site.com. Android приложение обращается к url site.com/auth.php и проходит авторизацию.

Вопрос: как правильно и безопасно это реализовать? Я в этом не разбираюсь, на данный момент нашел следующую информацию. На сервере генерировать sessid, который потом передавать вместе с каждым запросом. Т.е. сервер уже не передает в заголовках sessid. А только на запрос api в ответе в json например. На сайте angular будет записывать sessid в куки, андроид хранить у себя. Как и где хранить эти sessid на сервере? Что то читал про redis, но не совсем понял, входит ли он в PHP или ставить его надо отдельно, если отдельно, то redis может быть не на каждом виртуальном хостинге?

P.S. Вопросов много, т.к. мало понимаю как решать задачу. По мере понимания, вопросов будет меньше. Жду как ответы, так и критику, правки и ссылки на полезные ресурсы. Благодарю за внимание!

1
  • После успешного логина сервер генерирует хеш, который и отдает в ответ. После этого предоставление такого хеша приравнивается к успешной авторизации, но надо учитывать максимальное время жизни такого хеша. Браузер может хранить этот хеш в cookies или в local storage, а мобильное приложение - в preferences. Commented 12 янв. 2020 в 20:50

2 ответа 2

0

Думаю более оптимально будет если вы будете хранить SESSID в базе (например mySQL), в зависимости от вашей нужды, вы можете там так же и хранить информацию об системе которая авторизировалась на сайте APP ID SYSTEM ID .... Данную информацию вы можете хранить как долгосрочно, так и временно, например каждые 24 часа происходит очистка SESSID. Привести пример на PHP как это сделать, трудно будет, т.к это объёмистая логика... почитайте тут, может поможет Хабра

2
  • Спасибо, реализация не нужна, там я справлюсь. Понять просто логику системы. Что то читал про API и публичные и секретные ключи. Но как понял, это надо что бы понять какое приложение использует API. Т.е. если это API для сторонних разработчиков. Но мне нужно лишь API для себя. Если этот SESSID украдут, получается получат доступ к чужому аккаунту. Тут думаю, хорошо будет связать SESSID и IP. Но если меняется IP после дисконекта например от провайдера, меняется IP. Требуется повторная авторизация. В VK например у меня авторизация не слетает никогда. Вопрос безопасности тоже важен и непонятен. Commented 10 февр. 2017 в 15:23
  • Да вы можете хранить связку IP и SESSID, как я уже написал в ответе вы можете так же хранить у себя и инедетификатор аппарата который прошёл авторизацию (логика 'троицы'), т.е при первом контакте вы получаете IP + APP ID и отдаёте SESSID, всю эту инфу вы храните у себя, при следующум подключении вы проверяете данную троицу по отдельности, и если например IP провайдера поменялся но имеются те же SESSID + APP ID . вы просто перезаписываете данные в базе (обновляете) у пользователя вряд ли сменится сразу два параметра, если украдут SESSID трудно будет подделать IP + APP ID ))
    – Арсен
    Commented 10 февр. 2017 в 19:27
0

Хранить session_id в БД ограничит ваши возможности в гибкости запросов, что порождает лишние. Привязка к ip создаст неудобства пользователям, тем более если будет мобильное приложение и ip будет часто меняться.

При успешной авторизации в site.com/auth.php записывайте данные о пользователе в $_SESSION (например, как $_SESSION['user']). Таким образом данные уже будут привязаны к session_id(). Пока существуют куки сессии на клиенте, клиент будет залогинен. При выполнении индивидуальных действий, например, редактировании своего профиля в запросах к бд используйте $_SESSION['user']->user_id.

Когда будите писать приложение под android, могут возникнуть проблема с session_id, так как он будет разным с каждым запросом. Особенно если использовать webview. Нужно будет попотеть чтобы подставлять ручками одинаковый.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.