Serverio sąveika per API

Tarkim jeigu sukasi koks nors serveris, kuris turi savo API per HTTP protokolą.

API turi komandą, kad useris galėtų padepositinti pinigus:

pvz: http://api.com/deposit.php?userid=1&amount=2

tokiu būdu šis serveris sąveikauja su kokiu nors kito žaidimo serveriu, iš kurio ateitų būtent tokios užklausos.

Kokia turėtų būti koncepcija ir ar įmanoma kažkaip padaryti, kad viskas būtų saugiai ir nuo vartotojo akių paslėpta? nes pažiurėtų kokie responsai išeina, nueitų į naršyklę ir prisifloodinti kiek nori deposito.

O nenori užklausos siųsti per server side?

O nenori užklausos siųsti per server side?

Negaliu, žaidimo serveris yra trečiujų šalių kažkokių, tokių žaidimo serverių gali būti daug, tie serveriai naudoja pluginą, kuris turi sąveikauti su kitu serveriu kuris aptarnauja tą mano API.

Tokiu atveju, pas save išsaugok api logus ir tikrink ar nekartoja deposito requestų kelis kartus iš eilės.

---

Pagal ip adresą tikrink, daryk kad tik iš tavo serverio eitu requestai pavizdžiui su curl ?

User -> Curl/Server side -> Api

Proxink requestą per savo servą (pavadinkim autorizacijos servrį) į api, taip kad galutinis vatotojas nematytų kurr ir koks requestas nukeliauja. Galėsi savo autorizacijos serveryje implementuoti single use tokenus ar kažką panašaus

Šiaip be tikrinimų neišsivaizduoju. Bet dar vienas iš variantų, tai pirma sukurt deposit'ą server-side su kokiu nors token'u ir vėliau accessinant, tikrint ar tikrai yra (galimas) toks deposit'as su tokiu hashu, pvz:

api.com/deposit?user=1&amount=2&token=N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy