Как вк идентифицирует пользователей?

Question

[LinuxGod]

Приветствую коллеги, столкнулся с таким интересным моментом:
web версия ВК может идентифицировать пользователя без кук, токенов и прочего.
Как это сделано?
За счёт чего реализовано?
С помощью каких протоколов?
Убедиться в этом может каждый - достаточно просто взять открыть средство разработчиков (F12), перейти во вкладку Aplication и нажав на ClearData - обновить страницу, почему и как ВК не выходит из аккаунта ?
А куки и токены буквально регенерируются ?
Какие средства задействованы ?
За любую инфу по этому поводу буду безмерно благодарен!
Спасибо за внимание!

Comments

[SVM]

после ClearData обновлять нужно через Ctrl+F5 ,чтобы не подгружало кеш/инфу с диска

Answer 1

[15432]

Сделал, как вы указали (Clear Data), обновил страницу - действительно, остался залогинен.
Зашёл в настройки Chrome, посмотрел Cookies и данные для сайта - в "Локальном хранилище" остались сохранённые данные, удалил их - разлогинило.
Залогинился снова, нажал Clear Data - теперь уже разлогинило сразу.

Вероятно, VK хранит что-то на диске, причём эти данные не удаляются средствами разработчика.

Comments

[SVM]

Clear Data
потом обновляй
Ctrl+F5

[LinuxGod]

Ну вот сначала сам сделай так а потом пиши этот коммент!

[LinuxGod]

15432 Спасибо! Разобрался!

[15432]

LinuxGod, а что в итоге оказалось-то?

[LinuxGod]

15432, При авторизации вк отправляет логины и пароли на спец. сервис авторизации, (так называемый единый шлюз входа - американцы так любят делать) он на домене login.vk.com и при попытке сделать GET запрос он делает редирект на главную страницу ВК, при том вк ещё собирает (не очень кстати законно) отпечатки пальцев вашего браузера с помощью протокола, близкого к fingerprtint, их может посмотреть каждый (они находятся на фронтах сайта в поле авторизации и имею атрибут hidden - я приложу скрин который я сделал удалив этот атрибут) без них открытие сессии вк на стороне web клиента не возможно это грубо говоря - "ключи открытия вашей сессии", на этом суб-домене login хранится токен авторизации, однако на самом домене vk.com есть сервис-воркер который подгружается с момента подключения вашего браузера к интернету, этот сервис-воркер делает запрос к домену login, проверяет наличие кук (самого главного токена который назван почему-то буквой "P" если таковые имеются он подгружает с помощью этого токена всю вашу сессию заново - добавляет ключи, данные метрик и т.д если удалить) данные вашего браузера кстати вк собирает не просто так, когда вы посещаете сайты с виджетами ВК эти самые виджеты тоже делают внутри своего сервис-воркера (который они подгружают на сайт) к субдомену login если там есть данные кук и валидный токен авторизации они сверяют отпечатки lg_h и ip_h если они такие же как и в их базе - то это значит это ваш браузер и вы это вы, следовательно можно впихивать вам контекстную рекламу когда угодно и куда угодно...

[LinuxGod]

15432, мой ВК :) https://vk.com/id560188277

Answer 2

[Dimonchik]

ну вот бы изучил и рассказал общественности

начал бы с режима инкогнито, например

закрыл все окна, открыл

и закончил

а то что кто-то, где-то, как-то в каком-то браузере работает... кому надо - изучит

Comments

[edward_freedom]

как твой ответ ему поможет?