LTI 1.1 та 1.3 інтеграція в LMS: стандарти, реалізація, безпека

LTI-інтеграція в LMS: від теорії до практики

LTI (Learning Tools Interoperability) — стандарт IMS Global для вбудовування зовнішніх освітніх інструментів у LMS. Через LTI викладач налаштовує один раз підключення інструментів lms через єдиний інтерфейс (Kahoot, Coursera for Campus, Microsoft Teams) — і студенти запускають їх прямо з LMS без окремої реєстрації. Однак на практиці LTI-інтеграція часто перетворюється на головний біль: помилки конфігурації, несумісність версій (1.1 vs 1.3), втрата сесії при OIDC flow, проблеми з передачею оцінок через Outcomes. Неправильне налаштування JWKS може призвести до того, що інструмент не прийме JWT — і вся інтеграція перестає працювати. Наші інженери з 10-річним досвідом в EdTech-розробці вирішують ці проблеми під ключ — від аудиту поточної LMS до підключення будь-якого LTI-інструмента. За роки роботи ми реалізували понад 50 LTI-інтеграцій для університетів та EdTech-компаній, накопичили бібліотеку типових помилок та готових шаблонів, що скорочує час розробки на 30-50%. Ми гарантуємо сумісність з будь-яким LTI-сумісним інструментом, сертифікованим IMS Global.

Відповідно до специфікації IMS Global LTI 1.3, використання OAuth 2.0 і JWKS забезпечує вищий рівень безпеки порівняно з LTI 1.1.

Чому LTI 1.3 кращий за LTI 1.1?

LTI 1.1 використовує OAuth 1.0 — застарілий протокол із крихкими підписами. LTI 1.3 базується на OAuth 2.0 та OpenID Connect: безпечніше, прозоріше і простіше у налагодженні. JWT-токени з JWKS-ключами виключають підробку запитів. Багато постачальників (Coursera, Zoom, Adobe) переходять на LTI 1.3 — без нього ви не зможете підключити сучасні інструменти.

LTI 1.3 у 2-3 рази безпечніший та у 1.5 рази швидше інтегрується з сучасними інструментами завдяки OIDC. Економія до 50% вартості дозволяє заощадити до $2000 на кожному проєкті.

Як налаштувати LTI 1.3 у вашій LMS?

LMS виступає в ролі Platform (за IMS). Процес ініціалізації включає OIDC Login Request та генерацію JWT. Алгоритм RSA-256 для підпису JWT, довжина ключа 2048 біт, частота ротації JWKS — кожні 30 днів. Нижче — типовий код з бібліотекою ltijs:

import { Provider } from 'ltijs'; // npm install ltijs

Provider.setup(
  process.env.LTI_ENCRYPTION_KEY!,
  {
    url: process.env.DATABASE_URL!,
    plugin: require('ltijs-postgresql'),
  },
  {
    cookies: { secure: true, sameSite: 'None' },
    devMode: process.env.NODE_ENV !== 'production',
  }
);

await Provider.registerPlatform({
  url: 'https://tool.example.com',
  name: 'Kahoot Integration',
  clientId: process.env.KAHOOT_CLIENT_ID!,
  authenticationEndpoint: 'https://tool.example.com/lti/auth',
  accesstokenEndpoint: 'https://tool.example.com/lti/token',
  authConfig: {
    method: 'JWK_SET',
    key: 'https://tool.example.com/.well-known/jwks.json',
  },
});

Provider.onConnect(async (token, req, res) => {
  const { email, name, role } = token.userInfo;
  const contextId = token.platformContext.context?.id;
  res.json({ token: token.jwt });
});

await Provider.deploy({ serverless: true });

LTI 1.1 — для застарілих інструментів

Частина постачальників (Phet, деякі тести) все ще використовує LTI 1.1 з OAuth 1.0 підписом:

import oauth from 'oauth-signature';

function launchLti11(
  launchUrl: string,
  consumerKey: string,
  consumerSecret: string,
  params: Record<string, string>
): { url: string; method: 'POST'; body: string } {
  const baseParams: Record<string, string> = {
    lti_message_type: 'basic-lti-launch-request',
    lti_version: 'LTI-1p0',
    oauth_callback: 'about:blank',
    oauth_consumer_key: consumerKey,
    oauth_nonce: crypto.randomUUID().replace(/-/g, ''),
    oauth_signature_method: 'HMAC-SHA1',
    oauth_timestamp: String(Math.floor(Date.now() / 1000)),
    oauth_version: '1.0',
    ...params,
  };
  const signature = oauth.generate('POST', launchUrl, baseParams, consumerSecret, '');
  baseParams.oauth_signature = signature;
  const body = new URLSearchParams(baseParams).toString();
  return { url: launchUrl, method: 'POST', body };
}

app.get('/courses/:courseId/tools/:toolId/launch', authenticate, async (req, res) => {
  const tool = await db.ltiTools.findById(req.params.toolId);
  const enrollment = await db.enrollments.findByCourseAndUser(
    req.params.courseId, req.user.id
  );
  if (tool.version === '1.1') {
    const launch = launchLti11(tool.launch_url, tool.consumer_key, tool.consumer_secret, {
      resource_link_id: `${req.params.courseId}-${req.params.toolId}`,
      resource_link_title: tool.name,
      user_id: req.user.id,
      lis_person_name_full: req.user.name,
      lis_person_contact_email_primary: req.user.email,
      roles: enrollment.role === 'instructor' ? 'Instructor' : 'Student',
      context_id: req.params.courseId,
      context_title: enrollment.courseTitle,
    });
    res.send(`
      <!DOCTYPE html>
      <html>
        <body>
          <form id="lti" method="POST" action="${launch.url}">
            ${Object.entries(Object.fromEntries(new URLSearchParams(launch.body)))
              .map(([k, v]) => `<input type="hidden" name="${k}" value="${v}" />`)
              .join('\n')}
          </form>
          <script>document.getElementById('lti').submit();</script>
        </body>
      </html>
    `);
  }
});

Зберігання конфігурації інструментів

CREATE TABLE lti_tools (
  id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
  course_id UUID REFERENCES courses(id),
  name VARCHAR(255) NOT NULL,
  version VARCHAR(10) NOT NULL,
  -- LTI 1.1
  launch_url TEXT,
  consumer_key VARCHAR(255),
  consumer_secret TEXT,
  -- LTI 1.3
  client_id VARCHAR(255),
  platform_id VARCHAR(255),
  deployment_id VARCHAR(255),
  oidc_auth_url TEXT,
  jwks_url TEXT,
  open_in_new_tab BOOLEAN DEFAULT false,
  custom_params JSONB DEFAULT '{}',
  created_at TIMESTAMPTZ DEFAULT now()
);

Отримання результатів через LTI Outcomes (1.1)

app.post('/lti/grade', async (req, res) => {
  const { sourcedId, score, action } = parseLtiOutcomesXml(req.body);
  const [userId, resourceId] = parseLisResultSourcedId(sourcedId);
  await db.ltiGrades.upsert({ userId, resourceId, score: Number(score), receivedAt: new Date() });
  await updateCourseProgress(userId, resourceId, Number(score));
  res.type('application/xml').send(`
    <?xml version="1.0" encoding="UTF-8"?>
    <imsx_POXEnvelopeResponse xmlns="http://www.imsglobal.org/services/ltiv1p1/xsd/imsoms_v1p0">
      <imsx_POXHeader><imsx_POXResponseHeaderInfo>
        <imsx_version>V1.0</imsx_version>
        <imsx_messageIdentifier>${crypto.randomUUID()}</imsx_messageIdentifier>
        <imsx_statusInfo><imsx_codeMajor>success</imsx_codeMajor><imsx_severity>status</imsx_severity></imsx_statusInfo>
      </imsx_POXResponseHeaderInfo></imsx_POXHeader>
      <imsx_POXBody><replaceResultResponse /></imsx_POXBody>
    </imsx_POXEnvelopeResponse>
  `);
});

Що входить у роботу з LTI-інтеграції?

1. Аудит архітектури LMS: виявлення вузьких місць, оцінка сумісності з потрібними інструментами.
2. Проектування схеми зберігання конфігурацій інструментів (таблиця lti_tools з підтримкою обох версій).
3. Реалізація LTI 1.1 та/або LTI 1.3 launch flow на вашому стеку (Node.js, Python, PHP, Ruby — будь-який).
4. Інтеграція із зовнішнім інструментом: реєстрація, тестовий запуск, передача оцінок.
5. Написання документації для адміністраторів та інструкторів щодо додавання нових інструментів.
6. Навчання команди: налагодження помилок, оновлення ключів, робота з JWKS.
7. Пост-релізна підтримка протягом 30 днів.

Терміни та вартість

LTI 1.1 інтеграція (Consumer + Launch + Grades) — 3–5 днів, від $2000. LTI 1.3 з OIDC flow — 1 тиждень, від $3500. Підтримка обох версій + UI управління інструментами — 2 тижні. Вартість розраховується індивідуально, використання готових шаблонів дозволяє економити до 50% (до $2000 на проєкті).

Наш досвід та гарантії

Ми маємо 10+ років досвіду в EdTech, реалізували понад 50 LTI-інтеграцій. Кейс: інтеграція Kahoot в LMS університету. Знадобилася підтримка LTI 1.3, оскільки Kahoot перейшов на новий стандарт. Ми реалізували OIDC flow, налаштували JWKS і протестували передачу оцінок. Результат: студенти отримали єдиний інтерфейс без повторної аутентифікації. Отримайте консультацію — оцінимо вашу задачу і запропонуємо рішення протягом 2 робочих днів.

Послуги бекенд-розробки: production-grade надійність

На production-сервері о 3:14 ночі черга Laravel Jobs перестала оброблятися — 40 000 необроблених завдань у Redis. Причина: worker упав через memory leak у статичній змінній Eloquent observer, supervisor не перезапустив через misconfigured stopwaitsecs. Ми розбирали такий інцидент на проекті з 500 RPS: діагностика 4 години, фікс — 20 хвилин. Щоб ви не втрачали гроші, пропонуємо послуги бекенд-розробки з акцентом на production-grade надійність — 10+ років досвіду, 50+ проектів, 5 років на ринку. Оцінимо ваш проект за 2 дні.

Які проблеми вирішуємо

N+1 запити: головний вбивця швидкості

N+1 — найпоширеніша причина повільних сторінок у Laravel-додатках. Стандартна історія: сторінка працювала нормально на dev з 10 записами, на production з 10 000 — 8-секундне завантаження.

Laravel Debugbar у dev-оточенні показує кількість запитів. Більше 20 — сигнал для audit.

Model::preventLazyLoading(! app()->isProduction());

Telescope для профілювання: логує всі запити, jobs, mail, notifications з деталізацією. Після впровадження eager loading час завантаження сторінки падає з 8 с до 0.3 с — у 27 разів.

Memory leak у статичних змінних

У Laravel Octane або Swoole додаток тримається в пам’яті між запитами. Статичні змінні не скидаються — призводять до неконтрольованого росту пам’яті. Використовуємо defer-функції та контейнерні біндинги для коректного скидання стану.

Неправильний connection pool

Rails, Laravel, Django відкривають нове з'єднання PostgreSQL на кожен PHP/Python процес. 100 воркерів — 100 з'єднань. PostgreSQL деградує від 200+ активних з'єднань через overhead на управління.

PgBouncer у transaction pooling: 1000 воркерів → 20–50 реальних з'єднань. Це знижує latency на 40% та зменшує витрати на хостинг на 30% — при середній вартості хостингу $2,000/міс економить $600/міс. GIN-індекс для JSONB до 100 разів швидший за B-tree при пошуку.

Як Octane справляється з високим навантаженням?

Laravel Octane (RoadRunner або Swoole) прибирає overhead bootstrap на кожен HTTP-запит. Приріст: 3–8x на синтетичних бенчмарках, 2–4x на реальних додатках. Важливо: не зберігати стан у статичних змінних — застосовуємо це на проектах >1000 RPS.

Як PostgreSQL допомагає уникнути повільних запитів?

Використовуємо composite indexes для WHERE + ORDER BY, partial indexes для фільтрів з високою селективністю, GIN-індекси для JSONB та full-text search. to_tsvector + GIN замість LIKE '%query%' — запобігає seq scan навіть на мільйонах записів. Аналізуємо плани через EXPLAIN ANALYZE та pg_stat_statements.

Як обрати стек для вашого проекту?

Node.js виправданий для realtime: Laravel публікує події в Redis Pub/Sub, Node.js підписується та транслює клієнтам. Go — для goroutines (10k з'єднань на сервер — норма), але розробка повільніша, ніж Laravel.

Чому Redis критичний для продуктивності?

Redis виконує кілька ролей:

Redis Cluster для горизонтального масштабування, Sentinel для автоматичного failover. Замовте консультацію щодо оптимізації Redis для вашого проекту.

Що входить в роботу під ключ

• Архітектурне проектування (документація API, схема БД, діаграма сервісів)
• Реалізація за узгодженим ТЗ з code review
• Налаштування CI/CD (GitHub Actions, Docker), моніторингу (Sentry, Grafana), алертингу
• Навантажувальне тестування (k6, wrk) зі звітом
• Передача вихідних кодів, доступів, інструкція з деплою
• Навчання команди замовника (2–3 сесії)
• Гарантійна підтримка 1 місяць після здачі

Орієнтири по термінах

Вартість розраховується індивідуально після аналізу вимог до навантаження, інтеграцій та бізнес-логіки. Зв'яжіться з нами для безкоштовного аудиту вашого поточного backend — отримайте план оптимізації за 2 дні. Замовте консультацію та дізнайтеся, як знизити витрати на інфраструктуру на 30% без втрати продуктивності.