Как из Flash читать/писать в базу данных (MySQL или MSSQL)

Question

[Alexey]

Планирую написать Flash-приложение, которое будет помимо всего прочего обращаться к базе данных.
Подскажите пожалуйста оптимальные решения или ссылки на статьи на эту тему.

Answer 1

[mihailt]

рекомендовал бы помотреть в сторону AMF3.
Это родной для flash/flex формат передачи данный.

На серверной стороне если php то Zend_Amf (http://framework.zend.com/download/amf) или php-amf3 (http://sourceforge.net/projects/php-amf3/), последний в разы быстрее, если python тогда pyAMF в связке с django, twisted или чего-то другого по вкусу )) про java не в курсе.

Comments

[Alexey]

Спасибо, буду смотреть.

Answer 2

[verwolfdotss]

Coldfusion продвигаемая Адобом серверная платформа для веб-приложений основанная на J2EE.
По сути для общения с базой данных в любом случае прийдется писать некий серверный компонент обрабатывающий запросы клиентов на swf и производящий различные операции с БД. По сути выбор сводиться к языку программирования с которым вам удобнее работать.

Comments

[verwolfdotss]

Советую посмотреть видео из туториала к Flex. goo.gl/axAs

[Alexey]

Спасибо за ответ и за ссылку на видео, очень познавательно.

Answer 3

[jcrow]

«Как swf объект, который выполняется на стороне клиента, сможет читать/писать в базу данных, которая находится на стороне сервера?» — вот это правильно поставленный вопрос.

Comments

[Alexey]

Способы реализация разные есть. Вот мне и интересно, как лучше это сделать. По первым ссылкам в основном используется прослойка php/asp/java-скриптов на сервере, иногда упоминается coldfusion (что за зверь?).

[jcrow]

Ну по-другому и не получится: за mysqlными данными ему придется обратиться к скрипту на стороне сервера, а кто там будет сидеть (пхп, асп) — маловажно. Другими словами: нужна прослойка, которая обеспечит прием/передачу данных между клиентом (флеш объект) и базой данных.
coldfusion — зверь древний и уже неактуальный, похоже.

[StrangeAttractor]

В общем-то случае оно так (и в таком случае я бы использовал XML web-сервисы), но на Flash ведь можно написать и приложение для локального использования с локальным (в локальной сети или на собственном компе) сервером. И вот тогда вопрос уже становится интересен.

Answer 4

[lehha]

Для транспорта использовать HTTP или XML — а в них заворачивать нужные данные и распаковывать на стороне сервера.

Достаточно универсальный подход в любом случае, учитывая что во Flash есть прямые функции работы по HTTP/XML

Answer 5

[Владимир Чернышев]

Не большой специалист по Flash, но разве у него нет достаточно высоко развитых средств обращения к сетевым сервисам? Если всё, что нужно сделать — это предоставить доступ приложению к БД, то просто поднимете СУБД на внешних интерфейсах сервера (если речь про клиентские приложения с центральной БД) или на локальных (если речь про локальные приложения) и обращайтесь :) Возможно даже для Flash (Actionscript?) существуют различные адаптеры, облегчающие и абстрагирующие работу с БД и, например, писать SQL запросы не придётся.

Но только подумайте, действительно ли вам нужен именно доступ к БД или вам нужны данные, которые в ней хранятся, и/или возможность их записывать, но с дополнительной логикой, например, развитой аутентификацией и авторизацией? Тогда надо вводить трехзвенную архитектуру — клиентское приложение -> серверное приложение -> база данных

Answer 6

[lsdima]

Здесь уже достаточно много и правильно сказали выше. Может и мой опыт окажется полезным. Сейчас в одном проекте использую прямые SQL запросы из ролика, через php скрипт (в простейшем варианте — 10 строк кода). PHP-скрипт выполняет входящий запрос и отдает данные обратно ролику в JSON. Могу сказать, что это очень удобный и простой способ: возможностей sql запросов полностью хватает для выполнения сложных выборок, лишние данные между клиентом и сервером не бегают. В флеше мы получаем массив или объект с результатами выборки. В моем sql2flash классе запросы выглядят примерно так: sql2flash(«select * from table», slqHandler), где sqlHandler — обработчик результатов запроса. Если интересно, могу выслать код.

Comments

[gribozavr]

А если кто-то разберётся в происходящем и отправит delete * from table?

[lsdima]

Откуда отправит?

[lsdima]

Дополню:

1. Понятно, что нужно иметь мозг и прежде всего позакрывать все небезопасные права у юзера под которым происходит коннект к базе.
2. Понятно, что происходит аутентификация запроса, и запрос с левого домена и без хеша не пройдет.
3. Нужно определить какие запросы будут выполняться, там же узкий круз запросов. Есть только селекты, то все остальные запросы будут игнорироваться.

[gribozavr]

Флеш плеер же с клиентской машины как-то отправляет (точнее не как-то, а как реализуете), значит и я смогу написать программу, которая делает то же самое. Аутентификация — туда же. Даже селекты могут навредить: можно слить базу.

[lsdima]

Во-первых, и главное, как я написал выше, если хеш или, если вам понятнее, захешированный пароль, в запросе не совпадет, то ничего не произойдет.
Во-вторых, смотрите п.3 дополнения. Нужно думать к каким данным давать доступ, а к каким нет. Понятно, что доступ к паролям лучше закрыть%).
В третьих, существующие решения, вроде assql, внимание, тоже отправляют sql запросы. Потому, что в этом смысл. Иначе весь смысл flash<->mysql теряется.
В четвертых, любая html форма тоже отправляется с клиентской машины. И вы так-же можете подделать, этот запрос.

И, наконец, в пятых, нужно задуматся о целесообразности такого решения и включить мозг, ибо при отсутсвии понимания, любое решение грозит стать небезопасным.

И не могли-бы вы разъяснить насчет «Аутентификация — туда же». Из вашего комментария не следует, куда — «туда же»?..

[gribozavr]

Если что-то делает ваша программа на флеше, моя может делать то же самое. Это значит, что если ваша может аутентифицироваться, то сможет и моя. Потому что у меня, на клиентской стороне будут все необходимые для этого данные. Пароль? Хеш пароля? Они же в флеш-ролике будут зашиты! Их оттуда можно элементарно достать. Любая аутентификация будет сломана, так как программа выполняется у меня на компьютере под моим контролем и все данные (пароли, хеши) тоже находятся у меня. Попробуйте предложите такую схему, которую выполнит флеш, но не выполню я.

Даже если у вас сольют базу без паролей, это всё равно очень плохо. Например, на форуме тогда можно читать чужие личные сообщения. Или например, если уметь делать произвольные запросы к базе онлайн игры, то игроки смогут узнать те игровые величины и параметры, которые позволят им играть нечестно. Например, координаты сооружений других игроков или неисследованую часть карты.

Запрос GET или POST тоже можно подделать. Но ведь обработчики этих запросов рассчитаны на то, чтобы отсекать плохие входные данные, верно? И реализовать эти проверки довольно просто, так как формат запроса GET или POST довольно простой и диктуется семантикой запрашиваемого действия. А если пытаться фильтровать произвольные SQL запросы, то придётся для начала написать полноценный парсер SQL, а потом очень много логики собственно для анализа. Даже пусть вы напишете парсер, что дальше? Что искать в запросе, чтобы определить, что он плохой? Как узнать, что это именно игрок пытается играть нечестно, а не эти данные нужны логике вашего флеша? В результате вы придёте к набору шаблонов запросов, которые может отправлять ваш флеш. А если есть готовые шаблоны, то проще со стороны сервера просто реализовать соответствующие API вызовы для выполнения этих разрешённых запросов по шаблонам.

Answer 7

[lsdima]

Что значит «Их оттуда можно элементарно достать»? Особенно если они генерируются программно. Напишите об этом в Adobe.

И каким боком здесь онлайн-игра? Я написал выше, что нужно понимать целесообразность такого решения. У меня например таким образом вытаскиваются данные из ~10 взаимосвязанных баз, в которых исключительно публичная информация. Я хочу посмотреть на этот монструозный велосипед с API, который вы предлагаете, особенно, если структура данных может меняться.

А если нужно получить доступ к секретным данным — никто не мешает написать отдельный php скрипт.

И что вы опять с этой базой с паролями, закрыта она, за-кры-та. Ну если человек не понимает, то ему ни один туториал не поможет обезопасить систему, ообенно в случае с таким довольно нетривиальным решением как flash<-->mysql.

Comments

[lsdima]

прошу прощения, предназначалось как ответ gribozavr.

[gribozavr]

Элементарно достать, значит, что если у вас есть строковая константа в исходнике флеша, то она будет и в .swf файле. Если генерируете пароль программно — никаких проблем, запускаем декомпилятор флеша и реверсим ваш алгоритм.

Вот именно, только в случае когда любой запрос, который можно сделать через ваш флешевый интерфейс к mysql вернёт только общедоступные данные, только тогда это можно делать.

[lsdima]

ок, давайте так, если я пришлю вам swf файл, вы сможете его декомпильнуть, и отправить мне пароль, который он генерирует?

[gribozavr]

Давайте попробуем. Только чур, без обфускации файл. Но вы можете попробовать и сами: www.sothink.com/product/flashdecompiler/index.htm

[lsdima]

ок, напишу в личку:-)

[lsdima]

Отправил. Ответ в виде числа можете написать прямо здесь.

[gribozavr]

Подведу итог: да, всё удачно декомпилировалось, но потребовалось немного чтения спецификации SWF и ручной доработки результата.

Answer 8

[zwie]

garbage-collector.ru/2007/05/assql_actionscript_mysql_driver.html — здесь что-то на эту тему. Сути не помню (давно уже читал), но вроде как работа с сокетами напрямую происходит.

Answer 9

[Robotex]

Напрямую никак.

Но реализуется очень просто, через PHP.

Создаем объект URLRequest(«путь_к_PHP_скрипту»). Ему в data присваиваем URLVariables, в которые предварительно заносим данные необходимые для записи в базу (их может и не быть, если мы, например, читаем из базы). Далее создаем объект URLLoader и вызываем его метод load, в который передаем в качестве параметра наш URLRequest.

Скрипт получает данные, работает с базой и выводит результат через echo.

После этого срабатывает событие COMPLETE у URLLoader'а и в поле data у него лежит результат.

Answer 10

[ssneg]

SWF исполняется у клиента и посылает данные PHP-скрипту методом POST (или GET). Скрипт получает данные и пишет их в таблицу. РНР-код писать не буду, вот то, что на стороне клинта, AS3:

var loader : URLLoader = new URLLoader();
var request : URLRequest = new URLRequest("www.server.com/somescript.php");

request.method = URLRequestMethod.POST;
var variables : URLVariables = new URLVariables();
variables.peremennaja1 = "value1";
variables.peremennaja2 = "value2";
request.data = variables;

// Handlers
loader.addEventListener(Event.COMPLETE, on_complete);
loader.load(request);

function on_complete(e : Event):void{
trace("Всё послано, шеф!");
}