在 CodeIgniter 中处理并发请求

Question

假设我使用 CodeIgniter/PHP 和 MySQL 创建了一个在线银行系统，并且有以下内容可以从我的银行账户中提取资金：

function withdraw($user_id, $amount) {
    $amount = (int)$amount;

    // make sure we have enough in the bank account
    $balance = $this->db->where('user_id', $user_id)
                        ->get('bank_account')->balance;
    if ($balance < $amount) {
        return false;
    }

    // take the money out of the bank
    $this->db->where('user_id', $user_id)
             ->set('balance', 'balance-'.$amount, false)
             ->update('bank_account');

    // put the money in the wallet
    $this->db->where('user_id', $user_id)
             ->set('balance', 'balance+'.$amount, false)
             ->update('wallet');

    return true;
}

首先，我们检查用户是否可以执行提款，然后我们从账户中减去，然后我们添加到钱包中。

问题是我几乎可以同时发送多个请求（这对于使用curl 来说基本上是微不足道的）。每个请求都有自己的线程，所有线程都同时运行。因此，每个人都会检查我的银行是否有足够的钱（我会这样做），然后每个人都会进行取款。结果，如果我开始余额为 100，并且我同时发送两个 curl 请求导致提取 100，那么我的钱包中最终有 200 和银行帐户中的 -100，这应该是不可能的。

解决此类TOCTOU漏洞的正确“CodeIgniter”方法是什么？

Answer 1

我将bank_account 和wallet 表的存储引擎设置为具有事务支持的InnoDB，然后在SELECT 语句中包含FOR UPDATE 子句以在持续时间内锁定bank_account 表交易。

然后代码将类似于以下内容。

function withdraw($user_id, $amount) {
    $amount = (int)$amount;

    $this->db->trans_start();

    $query = $this->db->query("SELECT * FROM bank_account WHERE user_id = $user_id AND balance >= $amount FOR UPDATE");

    if($query->num_rows() === 0) {
        $this->db->trans_complete();
        return false;
    }

    $this->db->where('user_id', $user_id)
             ->set('balance', 'balance-'.$amount, false)
             ->update('bank_account');

    $this->db->where('user_id', $user_id)
             ->set('balance', 'balance+'.$amount, false)
             ->update('wallet');

    $this->db->trans_complete();

    return true;
}

Answer 2

我要找的是table locking。

为了保证这个函数的安全，我需要在函数开始时锁定表，然后在结束时释放它们：

function withdraw($user_id, $amount) {
    $amount = (int)$amount;

    // lock the needed tables
    $this->db->query('lock tables bank_account write, wallet write');

    // make sure we have enough in the bank account
    $balance = $this->db->where('user_id', $user_id)
                        ->get('bank_account')->balance;
    if ($balance < $amount) {
        // release the locks
        $this->db->query('unlock tables');
        return false;
    }

    // take the money out of the bank
    $this->db->where('user_id', $user_id)
             ->set('balance', 'balance-'.$amount, false)
             ->update('bank_account');

    // put the money in the wallet
    $this->db->where('user_id', $user_id)
             ->set('balance', 'balance+'.$amount, false)
             ->update('wallet');

    // release the locks
    $this->db->query('unlock tables');

    return true;
}

这会使任何其他 MySQL 连接对所述表的写入尝试挂起，直到锁被释放。