[PHP] Zabezpieczenie typu antyflood (antiflood)

Troszkę naszła mnie wena to pisze. Jakiś czas temu na forum pewna osoba zapytała mnie o rozwiązanie w tej sprawie. Powiedziała, że takich rzeczy nie ma necie. Skoro tak faktycznie jest to teraz jeden artykuł więcej będzie w tej materii. Dość dużo niedoświadczonych programistów nie zdaje sobie z tego sprawy, że takie zabezpieczenia są potrzebne. Chodzi głównie o to, aby ktoś nie spamował dajmy na to naszej skrzynki w przypadku, kiedy nie mamy innych zabezpieczeń typu captcha.

Cookies czyli ciasteczka

Najbanalniejsza metoda, jaka przyszła mi do głowy to są właśnie ciasteczka. W momencie dajmy na to wysłania wiadomości przeglądarka jest częstowana ciasteczkiem. W przypadku, kiedy ktoś chce wysłać wiadomość i ciasteczko nadal istnieje informujemy o tym petenta, że musi troszeczkę poczekać.
Kod:

<?php
$config['antyflood']['time'] = 30;
// Tutaj wyimaginowane części kodu

if($_COOKIE['send_message']) // Dla rygorystycznych drani mamy oczywiście isset()
{
 // Wiadomość do użytkownika, że musi troszeczkę poczekać
}
else
{
 if($message -> send(/* jakieś parametry */)) // Imitacja wysyłania wiadomości
 {
  // Mówimy użytkownikowi, że wysłał wiadomość i częstujemy przeglądarkę ciasteczkiem
  setcookie('send_message', 'bardzo_nieodpowiednia_treść', time() + $config['antyflood']['time']); // 30 sekund
 }
 else
 {
  // Mówimy użytkownikowi, że nie udało się wysłać wiadomości
 }
}
?>

Niestety ta metoda jest zawodna, bo część przeglądarek nie akceptuje ciastek bądź użytkownik nie życzy sobie tego papu.

Sesje

Lepszą formą zabezpieczenia są sesje jednak mają swoje wady, o których napisze poniżej listingu.
Kod:

<?php
$config['antyflood']['time'] = 30;

session_start(); // Żelazna zasada pracy z sesjami

// Usuwamy, jeżeli jest taka potrzeba
if($_SESSION['send_message'] && (time() - $_SESSION['send_message']) > $config['antyflood']['time']) // Dla rygorystycznych draniu mamy oczywiście isset()
{
 unset($_SESSION['send_message']);
}

// Tutaj wyimaginowane części kodu

if(!$_SESSION['send_message'])
{
 if($message -> send(/* jakieś parametry */)) // Imitacja wysyłania wiadomości
 {
  // Mówimy użytkownikowi, że wysłał wiadomość i ładujemy informacje do sesji
  $_SESSION['send_message'] = time();
 }
 else
 {
  // Mówimy użytkownikowi, że nie udało się wysłać wiadomości
 }
}
else
{
 // Wiadomość do użytkownika, że musi troszeczkę poczekać
}
?>

Problem polega na tym, że przeglądarka niekoniecznie musi zaakceptować ciastko z SID. W takim przypadku zostaje przekazywany w url'u, który tez nie musi zostać zaakceptowany to znaczy nie musi zostać przekazany identyfikator do kolejnej strony. W takim przypadku zabezpieczenie staje się całkowicie bezużyteczne.

Zapisywanie IP

Moim zdaniem najbardziej efektywna metoda, bo zmiana IP trwa chwilkę i natrętowi może w tym czasie się znudzi resetować router czy co tam ma. Skrypt działa w ten sposób, ze tworzy plik, którego nazwą jest IP w formacie liczby. Operujemy na dacie pliku więc nie trzeba się bawić nawet w otwieranie w najprostszym wydaniu tego skryptu. Oczywiście można to rozbudować ale...
Kod:

<?php
$config['dir']['antyflood'] = './antyflood/';
$config['antyflood']['time'] = 30;

$ip = ip2long($_SERVER['REMOTE_ADDR']); // Jakaś metoda bądź funkcja do pobierania IP
$path = $config['dir']['antyflood'].$ip;

if(file_exists($path))
{
 // Niekoniecznie trzeba usuwać, może wystarczyć update daty pliku (ale moim zdaniem lepiej usuwać)
 if(time() - filemtime($path) > $config['antyflood']['time'])
 {
  unlink($path);
 }
 else
 {
  $catch = true;
 }
}

if($catch)
{
 // Wiadomość do użytkownika, że musi troszeczkę poczekać
}
else
{
 if($message -> send(/* jakieś parametry */)) // Imitacja wysyłania wiadomości
 {
  // Mówimy użytkownikowi, że wysłał wiadomość i zapisujemy jego IP
  touch($path); // Mogą być inne funkcje
 }
 else
 {
  // Mówimy użytkownikowi, że nie udało się wysłać wiadomości
 }
}
?>

I teraz potrzebny worker, bo za każdym wywołaniem skryptu nie będziemy czyścić plików outdated. Najlepiej odpalić taki skrypt z poziomu CRON'a i nie martwic się, że folder z takimi danymi zostanie zasypany.
Kod:

<?php
$config['dir']['antyflood'] = './antyflood/';
$config['antyflood']['time'] = 30;

$list = glob($config['dir']['antyflood'].'*');

if(!empty($list))
{
 foreach($list as $file)
 {
  if(time() - filemtime($file) > $config['antyflood']['time'])
  {
   unlink($file);
  }
 }
}
?>

Cala sytuacja tyczy się gości, którzy nie maja możliwości rejestracji. Naturalnie rejestracja może ograniczać, ale co z multikontami? W takich wypadkach metoda IP konieczna. Oczywiście można stworzyć do tego klasę, ale to pozostawiam Waszej inwencji twórczej. Podsumowując powiem, że połączenie tych trzech metod może dać wymierne korzyści.

Komentarze

• 1

Dodaj komentarz

Zezwolono używać: BBCode
Zabroniono używać: znaczników HTML

Podpis: (Wymagany)

E-mail: (Wymagany, niepublikowany)

Strona WWW: (Nie wymagana)

Token:

Treść tokena: (Przepisz tylko cyfry!)

Treść: (Wymagana)

Tagi

php webmaster webmastering programowanie strony ip ciekawostka tutorial porada example artykul spam skrypt rada projektowanie zabezpieczenie cron zapisywanie cookie cookies antyflood antiflood ciasteczka sesje sessions session sid