multiprocfile есть билдпак для хероку

я делал такое. тебе надо будет 2 приклада заводить, иначе никак

это сложно?

не, просто неочевидно

как и весь хероку, если тебе нужен какой то кастом)

спс

А почему именно хероку? Я бы опеншифт помучал

фига ты из пушки по воробьям)

шифт ваще нифига не тривиальный

Там маленькие фри еды есть постоянные

да я верю, просто шифт и андерлаинг кубернетес ваще нифига не тривиальны для новичка. особенно учитывая специфические костыли редхата поверх кубера (деплоймент конфиги, имаг стримы, добрый вечер)

да и железо норм нужно даже для лайт версии с одной нодой

terry brosseau, код неверный, обратись к админу.

у меня есть в дб штуки которые принадлежат конкретным пользователям.
например get /api/cookie/13 куки 13го юзра, теоретически юзер может подменить 13 на 14, и достать чужие куки из бд,
если правильно понимаю, чтоб такого не было, я должен везде, где такое возможно в контроллерах проверять на соответсвие юзерИД и токена и если отличаются отдавать что-то типо форбидден?

по идее авторизация в апи строится в 2 этапа.
1. сама авторизация, когда пользователь передает личные логин/пароль/ключ и т.д. На этом этапе ему генерится токен.
2. выполнение любых дальнейших запросов требует от пользователя передачи сгенерированого на этапе 1 токена. По нему собственно и идентифицируется что это за пользователь и какие он имеет права

да, это понимаю.

у меня в дб объекты, с именем юзера кто их создал. Сами объекты достаются из бд по их ид, которых приходит по ресту. То есть юзер может и чужой объект достать главное ид подставить... вопрос в том, нужно ли постоянно проверять соответсвие того, кто запрашивает с тем ,что он запрашивает? то есть проверять, что чувак с токеном ххх и ид 10 запрашивает объекты, создателем которых был чувак с ид 10, то есть он сам, а не чьи-то другие объекты...

ну ты сначала получаешь по токену из бд id юзера, а потом уже везде этот id передаешь при выборке

конечно нужно проверять. иначе, как ты и сам догадался, будет не особо секьюрно

спасибо🙂