Как защититься от получения данных чужого viewer_id с локального сервера?

[Tr1te]

Ну я прямо сейчас читаю описание и смотрю как они формируются:

auth_key = md5(api_id + '_' + viewer_id + '_' + api_secret)
sig = md5(viewer_idname1=value1name2=value2secret)
* секрета приложения api_secret (секрет Вы можете менять при редактировании страницы приложения).

И там и там api_secret.

[etc]

Ага, только это разные api_secret (см. примечание).

[Tr1te]

Ну если разные, то все отлично. Большое спасибо.

[mikhailk]

я задумывался на эту тему.

auth_key уникален для каждой пары пользователь/приложение и заново его сформировать не получится.

Однако, он передается в открытую и не меняется (пока не изменим код на вкладке платежей) - если посмотреть html-код страницы ВК, его можно оттуда взять.

Поэтому, если Вася пришел посмотреть к Пете футбол, они открыли игру, Петя отлучился на кухню, а Вася скопировал этот auth_key (хотя бы на телефон сфотографировал), то потом, конечно, Вася может откуда угодно подсоединяться к серверу игры - сервер будет считать, что это Петя.

ЗЫ. Кстати, в роли Васи, ворующего auth_key, может выступать сисадмин организации (через какой-нибудь ремоутер), а в роли Пети - Марья Ивановна из бухгалтерии. Ну и правильно, нечего сидеть в ВКонтакте в рабочее время.

[Zebestov]

это уже вопрос заботы о сохранности личных данных каждого отдельного пользователя:

1. Васю на футбол не звать (да и шо это за болельщики такие? там футбол, а они в контакте)
2. на работе работу работать надо, а не контакты контактировать