Как реализовать защиту простейшего api?

Question

[andre7777]

создаю небольшое api
Защита реализуется с помощью ключей public_key и private_key
1) Может ли в качестве public_key использоваться user_id или лучше также использовать случайный набор?

2) Как обрабатывать дубли запросов: например запрос к api на заказ содержал:
?uid=1234&city=Москва&key=5e9a9766dd2c4bbf326064fcf45391c4
uid - это user id
key - получаем конкатенацией private_key&city

При получении повторно такого же запроса через 2 секунды, необходимо различать, или клиент делает еще один заказ по Москве или он случайно отправил еще раз этот же заказ. Как различать?

Answer 1

[Алексей Скляров]

Нужно проверять статус заказа, если он отправил заказ вам и вы приняли заказ - вешаете на него статус: В обработке.

Если человек еще раз отправил заказ: проверяете его статус, потому же решаете что с этим заказом делать.

Comments

[andre7777]

Если человек еще раз отправил заказ: проверяете его статус, потому же решаете что с этим заказом делать.

Как я узнаю: еще раз он отправил этот же или прислал новый с такими же параметрами?

[Алексей Скляров]

andre7777, хранить ID каждого заказа, навеврняка в магазине вы видели что-то типа Заказ #123123, человек передает на сервер только ID заказа, из БД вы можете все вытащить для этого заказа, там же и проверять ваше условие (куплен или отправлен повторно).