Как правильно сравнить API ключ?

Question

[aopil]

На текущий момент реализовано следующим образом:

$request = "SELECT APIKey, FullName FROM users WHERE UserName = '$USER_NAME'";

if((isset($rs->APIKey) && !empty($rs->APIKey)) && (decrypt($rs->APIKey) == $API_KEY))
{
}

Вопрос: Почему бы не использовать $encAPIKey = encrypt($API_KEY) и подставлять его в SQL запрос:

$request = "SELECT APIKey, FullName FROM users WHERE UserName = '$USER_NAME' AND APIKey = '$encAPIKey'";

Возможно, я что-то не понимаю и есть какие-то моменты нарушения безопасности итд?

Answer 1

[ThunderCat]

Вопрос: Почему бы не использовать

Во первых, так вы не будете знать в чем причина - в логине или в пароле, или в обоих полях. Во вторых, это МОЖЕТ работать с ключами, но с паролями так не работает, там другой алгоритм сверки, и желательно не плодить сущности и создавать максимально близкие по реализации алгоритмы в похожих местах.

Comments

[aopil]

ThunderCat по итогу какой вариант лучше использовать я так и не понял исходя из вашего ответа.

Я сверяю API ключ.

[ThunderCat]

aopil, Первый вариант правильнее, так как позволяет точнее определить причину по которой например не удалось подключиться к апи. Есть еще куча неочевидных вещей, например метод шифрования ключа в бд, который завтра может поменяться и тд...

[aopil]

ThunderCat, есть другой сценарий, где я должен только по API_KEY найти в базе данных пользователя, в таком случае неизбежно придется использовать 2-й вариант.

Касаемо шифрования ключа в базе данных тоже не вижу препятствий в использовании 2-го варианта, т.к. если изменится алгоритм, то и функцию нужно будет изменять)

[ThunderCat]

aopil,

в таком случае неизбежно придется использовать 2-й вариант.

Справедливости ради - это не будет второй вариант, это больше похоже на вариацию первого варианта, то есть поиск как по логину (один ключ для выборки). Но да, когда мы работаем только с ключом в качестве авторизационных данных такой вариант конечно же неизбежен.