Вопрос, который наверное поразит своей новизной:)
Допустим я получаю список групп пользователя через groups.get и ответ передаю через $.post на свой сервер.
Вопрос: может ли пользователь (скажем "прохаваный") подменить ответ от ВК и отправить на сервер другие айди? Если да - можно ли как-то это отследить/проверить?
Безопасность передачи ответа от ВК апи на сервер
Re: Безопасность передачи ответа от ВК апи на сервер
Лично меня он поразил своей древностью.Serge писал(а):Вопрос, который наверное поразит своей новизной:)
Легко!Serge писал(а):Допустим я получаю список групп пользователя через groups.get и ответ передаю через $.post на свой сервер.
Вопрос: может ли пользователь (скажем "прохаваный") подменить ответ от ВК и отправить на сервер другие айди?
Если этот метод можно вызвать с сервера - вызывай с сервера. Пользователю доверять нельзя - он врет.Serge писал(а):можно ли как-то это отследить/проверить?
Re: Безопасность передачи ответа от ВК апи на сервер
Serge, угу gpv123 дело говорит. ВК никакого дополнительного хеша не посылает (а почему мне самому интересно), в клиенте проверить реальность данных никак нельзя.
Re: Безопасность передачи ответа от ВК апи на сервер
на своем сайте vklid.ru вообще хочу все запросы к api перенести с клиентской флеш части на серверную. Безопаснее
Re: Безопасность передачи ответа от ВК апи на сервер
А вот это уже паранойя.Emeltil писал(а):на своем сайте vklid.ru вообще хочу все запросы к api перенести с клиентской флеш части на серверную. Безопаснее
Re: Безопасность передачи ответа от ВК апи на сервер
нет)) если я не уберу многие люди дальше будут получать бесплатно монеты. Я читал на форумах о багах сайтаgpv123 писал(а):А вот это уже паранойя.Emeltil писал(а):на своем сайте vklid.ru вообще хочу все запросы к api перенести с клиентской флеш части на серверную. Безопаснее
люди отсылают запросы пхп скриптам, просто меняют id задания
Re: Безопасность передачи ответа от ВК апи на сервер
Emeltil, все запросы с сервера - это паранойя. Одно дело, когда нужно просто вывести список друзей пользователя, а другое - когда нужно хранить коэффициент игровой валюты этого пользователя.
Использование сервера в первом случае - это паранойя, при этом использование переменных ВК с клиента (пример) во втором случае - это самоубийство.
Использование сервера в первом случае - это паранойя, при этом использование переменных ВК с клиента (пример) во втором случае - это самоубийство.
Re: Безопасность передачи ответа от ВК апи на сервер
посмотри сайт, поставил ли юзер лайк, вступил ли в группу, добавил ли пользователя в друзья мне надо 100% переделать, запросы слать с сервера. Хотя и не охотаgpv123 писал(а):Emeltil, все запросы с сервера - это паранойя. Одно дело, когда нужно просто вывести список друзей пользователя, а другое - когда нужно хранить коэффициент игровой валюты этого пользователя.
Использование сервера в первом случае - это паранойя, при этом использование переменных ВК с клиента (пример) во втором случае - это самоубийство.
Re: Безопасность передачи ответа от ВК апи на сервер
Emeltil, если количество монет зависит от этого, то спорить сложно. Переделать придется все, может даже чуть ли не с нуля.
Re: Безопасность передачи ответа от ВК апи на сервер
Я, честно сказать, не совсем вдуплил про вызов методов с сервера. Пользовался только secure методами, там еще как-то понимаю, но в остальных... Меня смущает то, что при вызове от клиента я не передают uid, а с сервера по идее надо же.gpv123 писал(а):Если этот метод можно вызвать с сервера - вызывай с сервера. Пользователю доверять нельзя - он врет.