доступ к серверу только с api в контакта

[AlexsWulf]

Доброго времени суток.
Хотел защитить скрипты на сервере от посторонего доступа и разрешить только приложению вконтакте

пишу в .htaccess

RewriteEngine On
Options +FollowSymlinks
RewriteCond %{REMOTE_HOST} !^.*vkontakte\.ru.*$
RewriteRule ^.*$ http://google.ru/
ErrorDocument 403 /errors/error.htm 
ErrorDocument 500 /errors/error.htm 
ErrorDocument 401 /errors/error.htm
ErrorDocument 404 /errors/error.htm

в результате все перенаправляются на гугл и приложение тоже
Не подскажите как еще можно закрыть доступ?
Или я с регулярками что то на мудрил?

Заранее благодарю за ответ.

[maxlapshin]

А вы понимаете, что флешка находится у пользователя на компьютере и отправляет к вам запросы с любого IP адреса?

Плюс конструкция вида RewriteCond %{REMOTE_HOST} !^.*vkontakte\.ru.*$ совершенно нежизнеспособна, потому что vkontakte.ru может резолвиться на тысячу равноправных IP адресов.

То, что вам нужно, называется secret_key. Это подпись от вашего payment_key и user_id пользователя. Вы никогда не можете быть уверены в том, что пользователь выполняет запросы к вам именно из флеш приложения, а не из самописной программы, но вы может быть полностью уверен в том, что это именно пользователь 1234567 прислал вам запрос на какой-то урл.

Уберите эту перепись.

[AlexsWulf]

Сообщение от maxlapshin

А вы понимаете, что флешка находится у пользователя на компьютере и отправляет к вам запросы с любого IP адреса?

Действительно. Слона то я и не приметил (
Спасибо большое.

[andrew911]

Сообщение от maxlapshin

То, что вам нужно, называется secret_key. Это подпись от вашего payment_key и user_id пользователя. Вы никогда не можете быть уверены в том, что пользователь выполняет запросы к вам именно из флеш приложения, а не из самописной программы, но вы может быть полностью уверен в том, что это именно пользователь 1234567 прислал вам запрос на какой-то урл.

Где гарантия, что флешка не разобрана и из нее не получен secret_key, с помощью которого и сделан запрос от имени другого пользователя?

[udaaff]

andrew911, секретный ключ хранится на сервере, а не в приложении. А авторизация пользователя проводится через auth_key, который формируется на основании secret key.

[maxlapshin]

Ага. auth_key формирует сервер вконтакта при генерации HTML-я который вставляет флешку и он представляет из себя функцию auth_key = crypt(secret_key, user_id).

Если подменить user_id, то когда вы на своём сервере будете проверять ту же функцию, у вас не сойдется.

[andrew911]

udaaff

Вконтакте два секретных ключа - один используется для платежных операций и действительно хранится на сервере.
Но для остальных операций используется ключ, который будет во флешке

[udaaff]

Сообщение от andrew911

udaaff

Вконтакте два секретных ключа - один используется для платежных операций и действительно хранится на сервере.
Но для остальных операций используется ключ, который будет во флешке

Речь шла об авторизации пользователя на удаленном сервере.
Какие ключи есть и для чего они надо, я в курсе.

[andrew911]

Сообщение от udaaff

Речь шла об авторизации пользователя на удаленном сервере.
Какие ключи есть и для чего они надо, я в курсе.

Изначально был вопрос

Хотел защитить скрипты на сервере от посторонего доступа и разрешить только приложению вконтакте

И какое отношение имеет секретный платежный ключ к этому?

[udaaff]

andrew911, перечитайте еще раз второй пост. Третий абзац в особенности.
И то, что вам писали после.