Albert22
Старатель
- Регистрация
- 30 Мар 2008
- Сообщения
- 270
- Реакции
- 11
- Автор темы
- #1
Привет!
Хотелось бы задать один вопрос на примере того, как это реализовано ВКонтакте. У них, при загрузке файла на удалённый сервер, в атрибуте action тега form указывается постоянное значение mid — это id загружающего файл юзера. Очевидно, что подменить его труда не составит, потому рядом передаются ещё и два хеша. Вот код:
Я столкнулся с необходимостью реализовать подобный алгоритм, однако я полностью понимаю только схему с одним хешем — например, в него загоняем текущий IP-адрес юзера, "соль", ещё что-то, хешируем посредством md5() и передаём это всё в виде хеша рядом с открытым номером (в примере это mid), который в итоге (на конечном сервере) подвергаем тем же преобразованиям и смотрим, совпадают ли они.
Но я догадываюсь, что это — не лучший вариант. Как минимум потому, что ВКонтакте используют сразу два хеша.
Правильно ли это утверждение? Имеются ли готовые, общепринятые методики открытой и в то же время защищённой от подмены передачи параметров? Объясните, пожалуйста, как наиболее оптимально реализовать данную задачу?
Заранее спасибо!
Хотелось бы задать один вопрос на примере того, как это реализовано ВКонтакте. У них, при загрузке файла на удалённый сервер, в атрибуте action тега form указывается постоянное значение mid — это id загружающего файл юзера. Очевидно, что подменить его труда не составит, потому рядом передаются ещё и два хеша. Вот код:
HTML:
<form enctype="multipart/form-data" method="post" action="http://сs123.vkоntаktе.ru/uplоаd.рhр?асt=profile&mid=123456&hash=3c1976d177...&rhash=df83ed6771...&vk=" name="editPhoto" id="editPhoto">Но я догадываюсь, что это — не лучший вариант. Как минимум потому, что ВКонтакте используют сразу два хеша.
Правильно ли это утверждение? Имеются ли готовые, общепринятые методики открытой и в то же время защищённой от подмены передачи параметров? Объясните, пожалуйста, как наиболее оптимально реализовать данную задачу?
Заранее спасибо!
