Re: Re: Кнопочка "Это письмо - спам (не спам)"

От: Maxim Polyakov <CGatePro_at_mx_ru>
Дата: Fri 05 Aug 2005 - 10:05:57 MSD

YS>> http://%d3%c5%d2%d7%c5%d2/learn.pl?session=2030-0934lSDFSDFSDF&message=/MessagePart/INBOX/12335-P.txt
YS>>   далее перловый скрипт, размещающийся на сервер заходит по фактически
YS>>   указанному адресу и скармливает сообщение sa-learn.

YS>>   Но тут есть куча недостатков с безопасностью :)
YS>>   1. в качестве &message можно передать любую чушь, включая
YS>>      какие-нибудь гадости. это более-менее лечится проверкой URL-а, но
YS>>      всё равно не очень красиво
YS>>   2. для реализации подобного варианта надо отключать проверку
YS>>      IP-адреса в сессиях, что уже намного хуже.

MP> Сейчас как-раз доделываю такую возможность у нас серваке. Идея такая:
MP> 1. Помимо ID сессии и номера сообщения, передавать полное имя
MP> аккаунта;
MP> 2. Проверять соответствие ID сессии имени аккаунта (через CLI
MP> запросто) - вот вам и безопасность.
MP> 3. Создать свою сессию для этого аккаунта и получить свой url к
MP> мессаге - вот вам и не обязательное отключение проверки IP (опять же MP> CLI). В принципе, 1-ый и 2-ой пункты не обязательны. По ID сессии можно определить имя аккаунта... Получено Fri Aug 05 06:06:00 2005

Этот архив был сгенерирован hypermail 2.1.8 : Tue 21 Feb 2006 - 03:16:42 MSK