Об OAuth

Всем привет, это @morra.
Штош... Наш OAuth продолжает отдыхать, надеемся он уснул пока еще не вечным сном, но спит он уже 3-ий день подряд, в общем на данный момент - RIP, но @Friend считает, что поминать пока рано. Администрация .one объясняет всё недопониманием, ошибкой с их стороны или какой-то проблемой с безопасностью, что-то между этим или всё сразу. Может быть немного тяжело понять, как такое может быть, поэтому давайте пройдёмся по хронологии:


1. На шики происходит рассылка.
2. Администрация .one приходит к нам с обвинениями.
3. Тут же выключается наш OAuth и создание новых OAuth приложений.
4. 2 человека из администрации .one утверждают, что не работают все приложения.
5. На следующий день оказывается, что это неправда, не работает исключительно наше приложение.
6. Объяснить эту несостыковку они не могут, но обещают, что отдадут нам OAuth (сегодня(?)).


Какую связь имеет наше OAuth приложение с этим всем? Нам не ответили.
Почему все остальные приложения работают, а наше нет? Нам не ответили.
Почему было сказано, что не работают все, а не работает только наше? Ну, нам не ответили.

Выводы из этого вы можете сделать сами. Примените Бритву Хэнлона или что-то в этом роде.

Но какой бы вывод вы не сделали, вернут нам сегодня oauth или нет, очевидно одно - эта ситуация создала проблемы в работе нашего сайта, создаёт проблемы для пользователей. А нам - нужно защищаться от подобных ситуаций, поэтому вот наш план на данный момент:


Во-первых, регистрироваться на сайте станет можно как отдельно от шики, так и вместе.

Это включено уже сейчас + уже залито обновление, и пользователи, зарегистрированные у нас, могут поменять свой никнейм (зарегистрированным через привязку пока нужно подождать разрешения ситуации с oauth).

Регистрация отдельно имеет очевидный плюс в отсутствии нужды в аккаунте на .one, но имеет и минусы:

Никнеймы с .one будут иметь приоритет над никнеймами .rip. Система никнеймов на сайте плохо подходит для одновременного использования никнейма несколькими пользователями, переписывать её целиком желания у нас нет. Это не самый удобный, но самый простой в реализации способ борьбы с этой проблемой. Если кто-то займёт указанный вами при регистрации никнейм, ваш будет сменён по схеме "Текущий никнейм + какая-то муть, чтобы сделать его уникальным". Т.е. условно был никнейм "Вася", станет "Вася 228".
В связи с этим, вход в такие аккаунты будет осуществляться по email, т.к. никнеймы в такой конфигурации нестабильны.

Синхронизация действий на one на таких аккаунтах будет недоступна.


Во-вторых, мы добавим возможность привязать свою куку с one к нам на сайт. Это полностью опционально, кука будет хранится в зашифрованном виде, не будет выводиться в интерфейсе сайта и может быть удалена в любой момент. У этого есть плюсы и минусы.

Плюсы:
1. Стабильная синхронизация на one без использования oauth, указываешь куку один раз в настройках и забываешь.
2. Мы не терпим и не смиряемся с отключением oauth таким образом, а адаптируемся к агрессивной среде.
3. ЛС - да, с помощью куки мы наконец-то сможем сделать синхронизацию ЛС, т.е. на .one можно будет вообще не заходить больше (это и есть причина тряски у докинатора и сэндлорда).

Минусы:
1. Технически это будет не так просто для пользователя, как oauth, нужно открывать инспектор элементов в браузере, переключаться на вкладку хранилища и копировать значение куки _kawai_session оттуда и вставлять нам в форму на сайте. С айфона это никак не сделать, с андроида возможно как-то через жопу установив firefox for android это возможно сделать, но проще сказать сразу, что для этого нужен будет комп.
2. Вы по сути полностью доверяете нам свой аккаунт на другом сайте, и этот доступ никак не ограничить по функционалу. Про то что мы не читаем ваши ЛС вам придется поверить нам наслово. Про то что злоумышленник взломавший наш сайт и выкачавший базу не сможет получить доступ к вашему аккаунту на .one потому, что кука будет шифрована - вам тоже придется поверить наслово.

Если всё, что мы написали звучит для вас слишком сложно, а вся тема с синхронизацией вас путает - не беда, за то короткое время, что сайт существует, всё стало чуть сложнее и обросло доп.функционалом, в этом всём довольно легко запутаться. Мы постараемся улучшить интерфейс синхронизации, вынести всё в одно место и сделать более понятным и наглядным процесс и логику синхронизации, в зависимости от аккаунта, oauth, cookie и всего остального.