Страница 1 из 2
Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 19:32
Serge
Вопрос, который наверное поразит своей новизной:)
Допустим я получаю список групп пользователя через groups.get и ответ передаю через $.post на свой сервер.
Вопрос: может ли пользователь (скажем "прохаваный") подменить ответ от ВК и отправить на сервер другие айди? Если да - можно ли как-то это отследить/проверить?
Re: Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 20:05
gpv123
Serge писал(а):Вопрос, который наверное поразит своей новизной:)
Лично меня он поразил своей древностью.
Serge писал(а):Допустим я получаю список групп пользователя через groups.get и ответ передаю через $.post на свой сервер.
Вопрос: может ли пользователь (скажем "прохаваный") подменить ответ от ВК и отправить на сервер другие айди?
Легко!
Serge писал(а):можно ли как-то это отследить/проверить?
Если этот метод можно вызвать с сервера - вызывай с сервера. Пользователю доверять нельзя - он врет.
Re: Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 20:11
Alazaur
Serge, угу gpv123 дело говорит. ВК никакого дополнительного хеша не посылает (а почему мне самому интересно), в клиенте проверить реальность данных никак нельзя.
Re: Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 20:28
Emeltil
на своем сайте vklid.ru вообще хочу все запросы к api перенести с клиентской флеш части на серверную. Безопаснее
Re: Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 20:32
gpv123
Emeltil писал(а):на своем сайте vklid.ru вообще хочу все запросы к api перенести с клиентской флеш части на серверную. Безопаснее
А вот это уже паранойя.
Re: Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 20:39
Emeltil
gpv123 писал(а):Emeltil писал(а):на своем сайте vklid.ru вообще хочу все запросы к api перенести с клиентской флеш части на серверную. Безопаснее
А вот это уже паранойя.
нет)) если я не уберу многие люди дальше будут получать бесплатно монеты. Я читал на форумах о багах сайта
люди отсылают запросы пхп скриптам, просто меняют id задания
Re: Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 20:45
gpv123
Emeltil, все запросы с сервера - это паранойя. Одно дело, когда нужно просто вывести список друзей пользователя, а другое - когда нужно хранить коэффициент игровой валюты этого пользователя.
Использование сервера в первом случае - это паранойя, при этом использование переменных ВК с клиента (пример) во втором случае - это самоубийство.
Re: Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 20:48
Emeltil
gpv123 писал(а):Emeltil, все запросы с сервера - это паранойя. Одно дело, когда нужно просто вывести список друзей пользователя, а другое - когда нужно хранить коэффициент игровой валюты этого пользователя.
Использование сервера в первом случае - это паранойя, при этом использование переменных ВК с клиента (пример) во втором случае - это самоубийство.
посмотри сайт, поставил ли юзер лайк, вступил ли в группу, добавил ли пользователя в друзья мне надо 100% переделать, запросы слать с сервера. Хотя и не охота
Re: Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 20:54
gpv123
Emeltil, если количество монет зависит от этого, то спорить сложно. Переделать придется все, может даже чуть ли не с нуля.
Re: Безопасность передачи ответа от ВК апи на сервер
Добавлено: 12 авг 2012, 20:56
Serge
gpv123 писал(а):Если этот метод можно вызвать с сервера - вызывай с сервера. Пользователю доверять нельзя - он врет.
Я, честно сказать, не совсем вдуплил про вызов методов с сервера. Пользовался только secure методами, там еще как-то понимаю, но в остальных... Меня смущает то, что при вызове от клиента я не передают uid, а с сервера по идее надо же.