2

Добрый вечер. Столкнулся с проблемой, имею сайт, на котором по кнопке выполняется покупка цифрового товара. Клик по кнопке отправляет post запрос на сервер, обрабатывает данные, отнимает баланс и выдает цифровой товар.

Сегодня нас взломали, отправив 25 команд на сервер за 2 секунды, по всей видимости сервер не до конца справился и баланс пользователю отнял в 10 раз меньше (Стоимость 1 товара 35 рублей, баланс у пользователя был 800, он купил 25 товаров, но баланс стал 700), я повторил его действия, используя консоль хрома отправил 20 копий команды $.post и результат был тот же, товары выдались, но баланс уменьшился лишь на 1/10 от необходимого

Вопрос такой, как можно ограничить количество запрос к 1 url от 1 пользователя скажем на 1 запрос в 2 секунды на стороне сервера? или может есть другие варианты решения проблемы?

14
  • 3
    "сервер не до конца справился" - не следует "очеловечивать" серверный код (кстати, что там у нас на сервере?). Запись количества купленных товаров и изменение баланса обернуты в общую транзакцию?
    – user176262
    Commented 21 февр. 2017 в 17:19
  • 1
    Не подходит. Тебе прилетят 50 запросов через 2 секунды
    – vp_arth
    Commented 21 февр. 2017 в 18:15
  • 1
    Операция продажи товара должна быть атомарной в контексте хранилища. Только транзакции. Либо костыли с семафорами. =)
    – vp_arth
    Commented 21 февр. 2017 в 18:16
  • 2
    Никто не собирается жать ваши кнопки
    – vp_arth
    Commented 21 февр. 2017 в 18:16
  • 1
    Давайте продолжим обсуждение в чате.
    – vp_arth
    Commented 21 февр. 2017 в 18:17

1 ответ 1

3

Нужно завернуть критическую секцию в транзакцию.
Тогда операции снятия средств и регистрация факта выдачи товара либо будут выполнены полностью, либо не будут выполнены вовсе.

Также имеет смысл блокировать выбранные строки методом lockForUpdate, чтобы попытка конкурентного обновления вызывала не перезапись, а выбрасывала исключение(с последующим откатом транзакции).
В отличие от sharedLock этот метод также блокирует чтение строк в других транзакциях.

    DB::beginTransaction(); 
    try{  
        $user = App\User::where('id',auth()->id())->lockForUpdate()->get()->first()

        //делаем дела....
        $user->save(); 

        DB::commit(); 
    } catch(\Exception $e) { 
    DB::rollback(); 
       return $e; 
    }

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.