безопасная идентификация пользователей, клиент+сервер для вконтакте
 

есть приложение as3 для вконтакте
какие лучше применять методики его идентификации на своем java сервере
хочу понять что обычно передается о пользователях с точки зрения грамотной организации безопасности на свой java сервере

Методика описана в документации контакта.

не могу понять - где именно про это написано? вконтакте?

Читайте про auth_key.

есть auth_key = md5(api_id + '_' + viewer_id + '_' + api_secret)
api_id , viewer_type, api_secret я беру с вконтакте
в клиенте вычисляется auth_key и?

что передавать к себе на сервер? чтобы было все безопасно?

"auth_key вычисляется на сервере ВКонтакте следующим образом" - понятно что вычисляется - но он же будет в клиенте в swf присутствовать - так же как и api_id , viewer_type, api_secret

то есть все что берется и вычисляется можно взять из swf и авторизоваться без swf фактически на моем сервере

поэтому хочу понять как именно этот момент обычно делают? - чтобы бы приложение не взломали

В клиенте auth_key не вычисляется, он приходит через flashvars. Под api_secret подразумевается защищенный ключ, а не ключ приложения.

> auth_key не вычисляется, он приходит через flashvars

а что тогда посылать себе на сервер? для работы с пользователем?

auth_key :)

хорошо посылаю себе на сервер auth_key который идет через моего клиента с вконтакте

как расшифровать теперь этот auth_key? - то есть определить id пользователя?

id пользователя не надо определять. его надо посылать вместе с auth_key. а на сервере сложить свой вариант auth_key по указанной в документации схеме и сравнить с тем, что пришел. если совпал — бинго! если нет — "ты хто такой!"

то есть api_secret в клиентском приложении не хранить а хранить это значение у себя на серваке?

Добавлено через 1 минуту
как мне тогда вычислять у себя на серваке
auth_key = md5(api_id + '_' + viewer_id + '_' + api_secret)

api_id и viewer_id получается нужна передавать с клиентского приложения в любом случае?

api_id передавать? хм... он же один на всю жизнь приложения 0о
viewer_id — да! это секретное скопище цифр доступное каждому надо таки передать
auth_key — да. эта непонятно как собранная абракадабра тоже нужна. ее собрал сервак контакта (к нему не добраться?) и она будет проверена на твоем серваке (тоже походу за кулисами).
итого имеем:
- подделать нельзя (надо знать "Защищенный ключ")
- никакими личными данными не светим
- идентификация однозначная

если еще что-то спросишь — заподозрим неладное и предложим заняться чем-то отличным от программирования ;)

viewer_id достаточно передать. api_id и так серверу известен.
И ещё не путайте ключ приложения и защищенный ключ. Это разные ключи, так вот второй вам в клиенте держать ни в коем случае нельзя.