есть апишка на ларе. Апишка принимает реквесты, обрабатывает их и делится данными. мне надо сделать так, чтоб запросы принимались по ключу (авторизация). Как это лучше сделать? От jwt я особо смысла не вижу, так как у меня запросы не привязанные к кастомнру => сессии. Тогда придётся на стороне сервера с которого посылаются запросы хранить в бдшке токены. Единственный вариант который я вижу это просто пошарить ключ и сравнивать, но слишком просто и при перехвате ключа будет плохо.
Пс 1 апишка - 1 сервер с которого можно слать запросы.
через заголовок отправляешь токен, в мидлваре проверяешь от кого пришел.
заведи ключи и подписывай запросы, добавь middleware и проверяй подпись
Это понятно, интересно как лучше токен создавать
Хз что взять за строку которую подписывают так как нет привязки к юзеру
Бери uuid
А мож рассказать что за задача где нужен токен но без привязки к пользователю?
Str::random(20) бери ). Имхо если у тебя всего один клиент для апи, тогда скорее всего у него есть уникальный ip, который и можно проверять при запросе к апи.
да строку нужно в одном месте один раз сгенерировать, а потом руками перенести на другой сервак.
тогда публикуй фразу, которую шифруешь, а на обоих серверах храни только ключ шифрования.
есть если эту подпись будет использовать только сервер, а не пользователи с фронта и запросы будут идти по https. Можно этот ключ пререодически менять.
Менять да, согласен
Что значит публиковать? Физически
Почитай о шифрованиях с открытым ключем
буквально в открытом виде публикуй на веб-сервере. на первом сервере сгенерил рандом, опубликовал этот рандом, зашифровал приватным ключем. на втором сервере зашел по роуту, считал рандом, расшифровал приватным ключем.
Точно точно, спасибо
Обсуждают сегодня