爲封閉測試版生成和/或驗證App Engine的許可證密鑰

Question

我將在封閉測試版狀態的幾個月內發佈我的GAE應用程序，以便只有少數用戶可以使用它，並獲得一些日期並知道在哪裏以及如何改進它。我的想法是，我使用一個關鍵系統讓他們訪問應用程序。

我想做什麼：

我要生成的密鑰的一記重拳，並將它們存儲與數據存儲。當用戶第一次使用他的Google帳戶登錄應用程序時必須輸入密鑰才能激活其帳戶。

我的問題：

我以前的軟件並不需要這樣的許可證密鑰或相似的，所以這對我來說是一個新的領域。你認爲這是實現內測的好方法嗎？我的第二個想法是生成一堆密鑰，並用像其他流行軟件這樣的系統驗證它們，但我認爲這是不必要的，我不想避免某個人可以創建密鑰。只要生成，存儲，然後檢查數據存儲中是否存在密鑰，將其設置爲使用並激活帳戶，這將是我的建議。

如何生成大量有效並輕鬆添加更多（無重複）鍵。我很感謝每一個經驗和建議。

Answer 1

作爲改進阿什利的建議，如果你想生成短和/或更容易輸入ID，您可以生成一些隨機數據，並使用base32編碼是：

base64.b32encode(os.urandom(8)).strip('=') 

使它有點通過插入連字符更容易閱讀：

'-'.join(base64.b32encode(os.urandom(8)).strip('=')[5*x:5*(x+1)] for x in range(3)) 

這使您的代碼如下所示：

'C6ZVG-NJ6KA-CWE' 

然後將結果存儲在數據存儲中，並將它們發送給用戶。我建議存儲沒有連字符的代碼，並在檢查數據庫之前剝離這些字符。如果你想變得很花哨，選擇base32的字母表來避免看起來相似的字符;您可以在做檢查之前替換這些字符來解釋拼寫錯誤。

8字節的隨機數據爲您提供2^64個可能的邀請碼;如果你發放2^16（65,536）個攻擊者，攻擊者仍然需要嘗試2^48（約300萬億）代碼才能找到合適的代碼。如果你願意，你可以縮短搜索空間，縮短搜索空間。

Answer 2

我使用UUID用於生成隨機密鑰：

UUID.randomUUID().toString().replace("-", ""); 

從文檔：「使用加密的強僞隨機數發生器產生的UUID」。

在數據存儲區中生成一個很長的列表，然後當用戶到達類似於：yourapp.com/betainvite/blahblahkey時，您可以簡單地檢查該密鑰是否在表中，並且如果它的rsvp屬性爲null （或者已經設置爲使用日期，在這種情況下您拒絕邀請）。

您也可以將密鑰存儲在您的用戶身上，以便您瞭解誰使用了每個人以及何時。

也是一個好主意，以保持關鍵的邀請日期，然後當你使用每一個你可以標記爲受邀，所以你不會邀請人。