Loginza - Vkontakte, फेसबुक, आदि के माध्यम से प्राधिकरण OpenID सर्वर

ज्वाइन करने के बजाय

Loginza सेवा के बारे में आज इतना नहीं है
जो जानकारी उपलब्ध है, वह मुख्य रूप से स्वयं डेवलपर्स से है, बल्कि सूखी है। यह है
और भी अजीब। मैं अपने खुद के विकास के अनुभव के बारे में बात करना चाहता हूं।
मुझे प्राधिकरण समस्या के समाधान का सामना करना पड़ा
फेसबुक और VKontakte के माध्यम से वेबसाइट। थोड़ी देर के लिए, मैं लॉगिन करके आया। मैंने बारीकी से देखा और
कोशिश करने का फैसला किया।

प्रलेखन, हालांकि मौजूद है, मेरी राय में, थोड़ा गरीब है। कुछ उदाहरण हैं। तैयार हैं
अप्रयुक्त इंजन के लिए प्राधिकरण मॉड्यूल। इस पोस्ट में मैं संक्षेप में कहना चाहूंगा
उस एल्गोरिथ्म को बताएं जो मैंने अपनी परियोजना में लागू किया था।

प्रारंभिक चरण

डेमो (अंतिम दृश्य का प्रतिनिधित्व करने के लिए) और
लॉगिन में पंजीकरण। पंजीकरण सरल है, मैंने अपने यैंडेक्स खाते के माध्यम से पंजीकृत किया है
ईमेल ने सक्रियण के लिंक के साथ तुरंत एक पुष्टिकरण ईमेल प्राप्त किया।
अपने व्यक्तिगत खाते के इंटरफ़ेस में, आपको साइट को पंजीकृत करने की आवश्यकता है। फिर ले लो
फ़ाइल को साइट पर पोस्ट करके अधिकारों की पुष्टि करें। एक यैंडेक्स वेबमास्टर की तरह (वैसे, कौन नहीं जानता है -
Yandex ने Loginz खरीदा)।

अधिकारों की पुष्टि होने के बाद, आप विजेट आईडी, और विजेट की गुप्त कुंजी प्राप्त कर सकते हैं।
उन्हें एक प्राधिकरण स्क्रिप्ट विकसित करने की आवश्यकता होगी। इसके अलावा, सेटिंग्स में आप की जरूरत है
"सुरक्षित मोड" बॉक्स की जाँच करें। "खतरनाक शासन", स्पष्ट रूप से अतीत में, के बारे में
पोस्ट के अंत में कुछ शब्द सुरक्षा।

विजेट के लिए HTML कोड प्राप्त करने के लिए अंतिम प्रारंभिक कदम है। आप यह सब कर सकते हैं
वही मेरा विजेट प्रबंधन पृष्ठ।

आधार विकास

मेरा कार्यान्वयन सही होने का दावा नहीं करेगा, हालांकि, यह पूरी तरह से दिखाई देगा
जो हो रहा है उसका सार।

यह समझा जाना चाहिए कि "लॉगिन के माध्यम से" प्राधिकरण केवल एक परत है
सामाजिक उपयोगकर्ता नेटवर्क और वेबसाइट। सफल लॉगिन प्राधिकरण अभी तक नहीं देता है
साइट पर प्राधिकरण। आमतौर पर, साइट पर प्राधिकरण के लिए, उपयोगकर्ता को दर्ज करने की आवश्यकता होती है
वैध लॉगिन और पासवर्ड, जिसके बाद वह पहुंच प्राप्त करता है। हमारे मामले में, सफल प्राधिकरण
Loginza के माध्यम से - यह एक तरह का लॉगिन और पासवर्ड इनपुट है, लेकिन अभी तक प्राधिकरण नहीं है।

इसलिए, हमारे पास डेटाबेस में दो टेबल हैं:
1. उपयोगकर्ता (फ़ील्ड: user_id, उपनाम, पासवर्ड, ईमेल)
2. लॉगिन (क्षेत्र: आईडी, पहचान, प्रदाता, उपनाम, ईमेल, स्थिति, user_id)

साइट के उपयोगकर्ता पहली तालिका में संग्रहीत किए जाते हैं, साइट पर प्राधिकरण डेटा के अनुसार ठीक होता है
यह तालिका। इस तालिका के क्षेत्रों के साथ, मुझे लगता है कि सब कुछ स्पष्ट है।

दूसरी तालिका भी उपयोगकर्ताओं को संग्रहीत करती है। लेकिन ये ऐसे उपयोगकर्ता हैं जो सफलतापूर्वक लॉग इन करते हैं
Loginzu।
पहचान - लॉगिन प्रदाता से एक अद्वितीय कुंजी की तरह कुछ।
प्रदाता - लॉगिन से गुजरता है। यह वह सेवा है जिसके माध्यम से उपयोगकर्ता अधिकृत है (संपर्क में, फेसबुक,
यांडेक्स, आदि)
उपनाम, ईमेल - विश्वासघात। वह उपनाम (मेल) जिसे प्राधिकरण प्रदाता ने वापस कर दिया। कर सकते हैं
कुछ भी हो या बिलकुल नहीं।
स्थिति - नया उपयोगकर्ता / पुराना उपयोगकर्ता
user_id - उपयोगकर्ता तालिका में उपयोगकर्ता आईडी

यह तालिकाओं का एक न्यूनतम सेट है।

प्राधिकरण स्क्रिप्ट ही

लॉगिन पेज

पहले चरण में प्राप्त HTML कोड एक लॉगिन फॉर्म है। पृष्ठ पर रखा गया
प्राधिकरण।



प्राप्त कोड में, आपको उस पते को निर्दिष्ट करने की आवश्यकता है जिसके लिए उपयोगकर्ता सफल होगा
प्राधिकरण। इस स्क्रिप्ट को प्राधिकरण डेटा प्राप्त होगा!
loginza.ru/api/widget?overlay=loginza&token_url=ayaytru/n.pp
PHP द्वारा पूर्व-एन्कोडेड http: // या https: // के साथ आपको पूरा URL निर्दिष्ट करना होगा
urlencode () फ़ंक्शन।

एक प्रतिक्रिया प्राप्त करने और एक उपयोगकर्ता को पंजीकृत करने और अधिकृत करने के लिए स्क्रिप्ट

इस स्क्रिप्ट को लॉगिन से प्रतिक्रिया को पहचानना चाहिए और उपयोगकर्ता को आगे निर्देशित करना चाहिए।
स्क्रिप्ट की सामग्री कुछ इस प्रकार है:
$loginzaid='ID'; //ID
.
$loginzakey='HASH'; //
.

$token=$_POST['token']; // .
$sig=md5($token.$loginzakey); // .
$kk="http://loginza.ru/api/authinfo?token=".$token."&id=".$loginzaid."&sig=".$sig.""; //
url
$b=file_get_contents($kk); //
$authresult=json_decode($b,true); // PHP


$ ऑक्ट्रेसॉल्ट सरणी में, अधिकृत उपयोगकर्ता के बारे में डेटा।

इस उदाहरण में, हम कुछ हद तक कार्य को सरल करेंगे और मान लेंगे कि उपनाम और ईमेल प्रेषित हैं
प्राधिकरण प्रदाता और हमारे उपयोगकर्ता तालिका में ऐसे उपयोगकर्ताओं के साथ उपयोगकर्ता अभी तक नहीं हैं
वहाँ। व्यवहार में - यह सत्यापित करना आवश्यक है, और यदि कोई डेटा नहीं है या वे डुप्लिकेट हैं
उपयोगकर्ता डेटाबेस में मौजूदा लॉगिन - उपयोगकर्ता से स्पष्टीकरण का अनुरोध करें। लेकिन यह अलग है
कहानी।

तो जारी रखें।

नया उपयोगकर्ता

जांचें कि क्या प्राप्त प्रदाता के साथ लॉगिन तालिका में एक प्रविष्टि है और
पहचान
$res=mysql_query("SELECT * FROM $tbl_l WHERE identity='$authresult[identity]' AND
provider='$authresult[provider]'");
यदि ऐसा कोई रिकॉर्ड नहीं है, तो हम लॉगिन तालिका में उपयोगकर्ता को दर्ज करते हैं
if(mysql_num_rows($res)==0)
{
mysql_query("INSERT INTO loginza (
`identity`,
`provider`,
`nickname`,
`email`,
`status`,
`soc_user_id`
)
VALUES
(
'$authresult[identity]',
'$authresult[provider]',
'$authresult[nickname]',
'$authresult[email]',
0,
0
)
") ;

}


अब निश्चित रूप से यह उपयोगकर्ता है।
हम ऐसी पहचान और प्रदाता (बदसूरत, लेकिन सादगी के लिए उपयोगकर्ता के बारे में पढ़ते हैं
कथन)।

$res=mysql_query("SELECT * FROM $tbl_l WHERE identity='$authresult[identity]' AND
provider='$authresult[provider]'");
$loginza=mysql_fetch_assoc($res);

अगर यह उनकी पहली प्रविष्टि और सम्मान है। यह अभी तक उपयोगकर्ता तालिका में पंजीकृत नहीं है - इसे पंजीकृत करें
वहां, और फिर लॉगिन तालिका जानकारी अपडेट करें:
if($loginza['status']==0)
{
$pwd=md5(' '); // ( ) MD5-
mysql_query("INSERT INTO users (nickname, password, email) VALUES ('$loginza[nickname]',
'$pwd', '$loginza[email]' )"); //
$iid=mysql_insert_id(); // ID . .
// loginza
mysql_query("UPDATE loginza SET status=1, user_id=$iid WHERE id=$loginza[id]"); //
=1 users
}


वह सब है! अब हमारे पास इस उपयोगकर्ता और लॉगिन के प्राधिकरण के बीच एक संबंध है।

यह केवल इस उपयोगकर्ता को उपयोगकर्ता तालिका पर अधिकृत करने और साइट पर डालने के लिए बना हुआ है।
if($loginza['status']==1)
{
Someauthorization($iid); //,
}


मौजूदा उपयोगकर्ता। पुनः प्रवेश।
यदि यह उपयोगकर्ता फिर से (अगली बार) लॉग इन करता है तो क्या होगा? पल में वापस
जब हमने उपयोगकर्ता के पहले इनपुट को एक चेक सौंपा:
if($loginza['status']==0)

और इसी तरह।
यदि उपयोगकर्ता पहले ही साइट पर सफलतापूर्वक लॉग इन कर चुका है, तो उसकी लॉगिन तालिका में स्थिति एक है।
हमें इस लॉगिन प्रविष्टि के user_id को जानना होगा और इसे प्राधिकरण के लिए भेजना होगा! और वह सब है!
if($loginza['status']==1)
{
Someauthorization($loginza['user_id']); //,
}


सुरक्षा के बारे में कुछ शब्द

मेरी राय में, Loginza पर्याप्त सुरक्षा, सभी महत्वपूर्ण प्रदान करता है
जाम कि थे - कवर की तरह। व्यक्तिगत रूप से, मैं एक संभावित भेद्यता नहीं देखता हूं।

मैंने जिस कोड का हवाला दिया, यह सिर्फ एक उदाहरण है, एक चित्रण है, और एक तैयार कोड नहीं है। नहीं
यह उस कोड का उपयोग करने के लायक है जो मैंने उस रूप में दिया है जिसमें यह है।