Всем доброго времени суток
Я сейчас занимаюсь изучением ВКонтакте API и, заодно, пишу свою игрушку (Практикуюсь)
Сам ВК API понятен, и безопасность в нём хорошо реализована (даже слишком хорошо)
Но не понятно взаимодействие с моим сервером... Я имею ввиду не secure. методы, а, например, базу игроков. Покажу на примере...
Flash приложение получает через flashvars переменную viewer_id. этот ID отправляется на сервер, где происходят некоторые действия с БД, и ответ отправляется обратно клиенту. Если предположить, что нету всяких хакеров и нечесных пользователей, то всё ОК.
НО СТОИТ МНЕ ПОМЕНЯТЬ VIEWER_ID, КАК Я СТАНОВЛЮСЬ
ДРУГИМ ПОЛЬЗОВАТЕЛЕМ.
Получить доступ к API я не смогу... Но ведь я могу имитировать запросы к серверу даже из браузера, представлясь разными игроками...
Как серверу убидиться, что я - это я, а не Вася Пупкин?
Добавлено через 5 минут
Сейчас в голову пришла идейка: отпровлять серверу ещё auth_key. Сервер будет делать любой запрос к ВК, тем самым узнавая подлиность юзера.
Есть что-то более оптимальное?