OA
в основном обжси
Хм, гениально
Почему сразу так не сделали все? Зачем тогда пароли
Size: a a a
2020 March 13
OA
ну там, https не завезли до 2013 всем подряд. И слали забытый пароль по http
OA
охуенно
OA
и tls нормальный только с версии 1.2
OA
все остальные - ехал дырка через дырка
p
тл;др:
1. пароли не нужны
2. сделай кнопку "send me a link by email"
3. положи статический секрет на сервер. Лучше всего генери его случайно на время жизни сервера, и держи в памяти, если это один инстанс и он не ребутится каждые 5 минут.
4. возьми merlin Transcript чтоб посчитать мак с таймаутом, user_id и секретом.
5. пришли ссылку с мак-кодом, user_id и таймаутом.
6. при входе - проверь что exp_time > now
7. сосчитай мак на сервере и сравни с полученным.
8. положи куки
1. пароли не нужны
2. сделай кнопку "send me a link by email"
3. положи статический секрет на сервер. Лучше всего генери его случайно на время жизни сервера, и держи в памяти, если это один инстанс и он не ребутится каждые 5 минут.
4. возьми merlin Transcript чтоб посчитать мак с таймаутом, user_id и секретом.
5. пришли ссылку с мак-кодом, user_id и таймаутом.
6. при входе - проверь что exp_time > now
7. сосчитай мак на сервере и сравни с полученным.
8. положи куки
Не совсем понимаю зачем ещё тайм-аут туда
Все равно в Кеше будет храниться секрет этот тайм-аут. Просто смотришь, если в кек нет нужного секрета, то значит тайм-аут прошел?
Все равно в Кеше будет храниться секрет этот тайм-аут. Просто смотришь, если в кек нет нужного секрета, то значит тайм-аут прошел?
OA
Не совсем понимаю зачем ещё тайм-аут туда
Все равно в Кеше будет храниться секрет этот тайм-аут. Просто смотришь, если в кек нет нужного секрета, то значит тайм-аут прошел?
Все равно в Кеше будет храниться секрет этот тайм-аут. Просто смотришь, если в кек нет нужного секрета, то значит тайм-аут прошел?
чтоб ты мог поменять секрет на сервере и все старые ссылки не работали
OA
и не делать в БД табличку с кодами
OA
а секрет тебе нужен один
OA
а не per user
p
А, понял
OA
если у тебя сервер один инстанс или сам себя форкает или мультитредит - то тут оч легко
OA
ты генеришь секрет в памяти и он никогда никуда не виден
OA
ни в каких конфигах, ENV и т.д.
OA
оч легко и просто
OA
если ребутить не чаще 10 минут, то UX будет прекрасный
OA
ну иногда у кого-то из-за ребута ссылка не пройдет - пришлет еще раз
p
А если несколько инстансов, то тогда нужно синхронизировать секрет между всеми инстансами постоянно?
В
А откуда можно получить неконстантные данные только с
Хочу на godbolt'е проверить как функции компилятся...
std?Хочу на godbolt'е проверить как функции компилятся...
OA
тогда просто первый инстанс кладет секрет в файл, остальные оттуда читают