Запись в базу из игры через php запросы безопасно?

Question

Андрей @AkaruZ

PHP
MySQL

Запись в базу из игры через php запросы безопасно?

Здравствуйте! Хочу в игре делать сохранения параметров персонажа в базе данных, но так как не умею делать сервера через которые это всё могло бы посылаться, хочу прям из клиента с помощью форм на php скрипт отправлять данные и заносить в базу данных MySQL, это безопасно или даже не стоит в эту сторону смотреть? Спасибо.

Вопрос задан более трёх лет назад
112 просмотров

5 комментариев

Подписаться 2 Простой 5 комментариев

Дмитрий @Compolomus Куратор тега PHP

Все что приходит с клиента надо фильтровать и приводить к типам, и вставлять в бд через подготовленные выражения

Написано более трёх лет назад

Андрей @AkaruZ Автор вопроса

Дмитрий,

В Php у меня примерно такой вид, это верно?

<?php
include("Common.php");

$login = safe($_POST['login']);
$nick = safe($_POST['nick']);
$method = safe($_POST['method']);
$data1 = safe($_POST['data1']);

$link=dbConnect();

$check = mysql_query("SELECT * FROM characters WHERE `login`= '$login' AND `nick` = '$nick' ") or die(mysql_error());
$numrows = mysql_num_rows($check);
if ($numrows != 0 )
{	                    
            if($method == "ChangeGold") 
            {  
                // Process
                mysql_query("UPDATE `characters` SET `gold` = `gold` + '$data1' WHERE `login`= '$login' AND `nick` = '$nick' ");
                
                // Response
                echo "Response"; echo ","; echo "OK"; echo ",";
            }
            
            
}
mysql_close($link);
?>

Написано более трёх лет назад

Дмитрий @Compolomus Куратор тега PHP

AkaruZ, ну для начала надо посмотреть что у вас делает функция save, старый мускул перед вставкой обязательно экранировать через mysql_escape_string , лучше перейти на PDO или хотя бы на Mysqli, там есть из коробки подготовленные выражения

Написано более трёх лет назад
Владислав Лысков @Vlatqa

mysql_query давно устарел, удалён и не поддерживается, см в сторону PDO

Написано более трёх лет назад
Андрей @AkaruZ Автор вопроса

Владислав Лысков, Сейчас начну смотреть, спасибо.

Написано более трёх лет назад

Все что приходит с клиента надо фильтровать и приводить к типам, и вставлять в бд через подготовленные выражения
Дмитрий,

В Php у меня примерно такой вид, это верно?

<?php include("Common.php"); $login = safe($_POST['login']); $nick = safe($_POST['nick']); $method = safe($_POST['method']); $data1 = safe($_POST['data1']); $link=dbConnect(); $check = mysql_query("SELECT * FROM characters WHERE `login`= '$login' AND `nick` = '$nick' ") or die(mysql_error()); $numrows = mysql_num_rows($check); if ($numrows != 0 ) { if($method == "ChangeGold") { // Process mysql_query("UPDATE `characters` SET `gold` = `gold` + '$data1' WHERE `login`= '$login' AND `nick` = '$nick' "); // Response echo "Response"; echo ","; echo "OK"; echo ","; } } mysql_close($link); ?>
AkaruZ, ну для начала надо посмотреть что у вас делает функция save, старый мускул перед вставкой обязательно экранировать через mysql_escape_string , лучше перейти на PDO или хотя бы на Mysqli, там есть из коробки подготовленные выражения
mysql_query давно устарел, удалён и не поддерживается, см в сторону PDO
Владислав Лысков, Сейчас начну смотреть, спасибо.

Answer 1 · 2020-01-24 13:00:01

Да, вполне, много игр крупных компаний работают по такой схеме, запрос с клиента на сервер. Только, как правильно заметили, было бы не плохо защититься от подделки запроса либо его шифрованием, либо придумать алгоритм подписи запроса, считать какой-то хеш на клиенте и передавать его с запросом серверу, там сервер пересчитывает его и сравнивает.

Запись в базу из игры через php запросы безопасно?

Войдите на сайт