Обмеження завантажень цифрових товарів: атомарні транзакції та обробка Range-запитів

Ви продаєте PDF-звіти, відеоуроки або ліцензії на ПЗ. Клієнт купує доступ на 30 днів з правом 5 завантажень. Через тиждень він закриває браузер під час завантаження — ліміт вичерпано. Або два співробітники одночасно натискають «Завантажити» — обидва запити проходять перевірку, і файл йде понад ліміт. Без надійного механізму обмеження завантажень цифрових товарів ви втрачаєте до 30% виручки через неконтрольоване поширення. Ми — команда інженерів з 6-річним досвідом, яка реалізувала понад 50 рішень для обмеження доступу до цифрових товарів. Наш підхід у 10 разів надійніший за стандартні CMS-модулі, які часто ігнорують гонку станів і не відрізняють перше завантаження від докачки. В основі — атомарні транзакції з блокуванням рядків SELECT ... FOR UPDATE та механізм HTTP Range-запитів. Це дозволяє гарантувати, що кожен клієнт завантажить рівно стільки разів, скільки передбачено тарифом.

Важливість атомарних транзакцій для лімітів

Без блокування два одночасних запити можуть обидва пройти перевірку до оновлення лічильника. Рішення — песимістичне блокування рядка. Всередині транзакції виконуємо SELECT ... FOR UPDATE, повторно перевіряємо ліміт та інкрементуємо. Це гарантує, що жоден запит не перевищить ліміт навіть при піковому навантаженні в 1000 RPS. Ми впроваджуємо цей патерн в Laravel через репозиторій та Action-класи. Додатково аудитуємо кожне завантаження в таблицю download_events.

Типи обмежень

Приклад конфігурації за тарифами

Запобігання гонці станів

Для зберігання даних створимо таблицю digital_order_downloads:

Schema::create('digital_order_downloads', function (Blueprint $table) {
    $table->id();
    $table->foreignId('order_item_id')->constrained();
    $table->foreignId('digital_product_id')->constrained();
    $table->string('token', 64)->unique();
    $table->integer('downloads_count')->default(0);
    $table->integer('downloads_limit')->nullable(); // NULL = без ліміту
    $table->timestamp('expires_at')->nullable();    // NULL = безстроково
    $table->boolean('is_revoked')->default(false);  // ручне блокування
    $table->timestamps();

    $table->index(['token', 'is_revoked']);
});

Клас DownloadLimitGuard перевіряє доступність завантаження. Проблема: два одночасних запити можуть обидва пройти перевірку до оновлення лічильника. Рішення — песимістичне блокування рядка. Всередині транзакції виконуємо SELECT ... FOR UPDATE, повторно перевіряємо ліміт та інкрементуємо.

class RecordDownloadAction
{
    public function execute(DigitalOrderDownload $download, Request $request): void
    {
        DB::transaction(function () use ($download, $request) {
            $locked = DigitalOrderDownload::lockForUpdate()->findOrFail($download->id);
            if ($locked->downloads_limit !== null
                && $locked->downloads_count >= $locked->downloads_limit) {
                throw new DownloadLimitExceededException();
            }
            $locked->increment('downloads_count');
            DownloadEvent::create([
                'digital_order_download_id' => $locked->id,
                'ip_address'    => $request->ip(),
                'user_agent'    => $request->userAgent(),
                'referer'       => $request->header('Referer'),
                'downloaded_at' => now(),
            ]);
        });
    }
}

Обробка Range-запитів для збереження ліміту при докачці

Згідно зі специфікацією HTTP, Range-запити призначені для докачки і не повинні вважатися новим завантаженням (див. HTTP Range). Якщо кожен Range-запит вважати завантаженням, ліміт вичерпається за одне завантаження великого файлу. Враховуємо лише перший запит без Range або з Range: bytes=0-. Ось приклад:

public function download(string $token, Request $request): Response
{
    $download = DigitalOrderDownload::where('token', $token)->firstOrFail();
    $guard = app(DownloadLimitGuard::class);
    $result = $guard->check($download);
    if (!$result->isAllowed()) {
        return response()->view('digital.download-denied', ['reason' => $result->reason], 403);
    }
    $rangeHeader = $request->header('Range');
    $isFirstRequest = !$rangeHeader || $rangeHeader === 'bytes=0-';
    if ($isFirstRequest) {
        app(RecordDownloadAction::class)->execute($download, $request);
    }
    return $this->streamFile($download->digitalProduct);
}

Налаштування та керування лімітами

Різні продукти мають ліміти за замовчуванням, а тариф при покупці перевизначає їх. У панелі керування адміністратор може скинути лічильник, продовжити термін або відкликати доступ. Всі операції аудитуються. За 3 дні до закінчення терміну надсилається email-нагадування командою php artisan digital:notify-expiring --days=3, яка запускається щоденно за розкладом. Також можлива інтеграція з системами білінгу для автоматичного оновлення лімітів при оплаті.

Процес роботи

1. Аналітика — вивчаємо ваші цифрові товари, тарифи, вимоги до лімітів. Займає 1-2 дні.
2. Проєктування — обираємо стратегію (кількість/час/IP), проєктуємо таблиці та сервіси.
3. Реалізація — пишемо код, покриваємо unit-тестами (покриття >80%).
4. Інтеграція — вбудовуємо у вашу CMS або фреймворк.
5. Тестування — load-тести з імітацією 5000 конкурентних запитів, перевірка докачки.
6. Деплой — розгортаємо на вашому хостингу, налаштовуємо моніторинг.

Строки та вартість

Базова реалізація (лічильник + термін + атомарний інкремент) — від 2 робочих днів, вартість від 2000 грн. Складні сценарії (обмеження за IP/пристроєм, інтеграція з ERP) — від 5 робочих днів, вартість від 5000 грн. Вартість розраховується індивідуально після аналізу вимог. Отримайте консультацію інженера — оцінимо проєкт безкоштовно.

Типові помилки

• Ігнорування Range-запитів — кожна докачка витрачає ліміт, користувачі скаржаться.
• Відсутність транзакцій — конкурентні запити перевищують ліміт у 2–3 рази.
• Жорстка прив'язка до IP — мобільні користувачі змінюють мережу, доступ блокується.
• Занадто короткий токен — 32 символи недостатньо, використовуйте 64+.
• Сповіщення лише англійською — для україномовних потрібна локалізація.

Що входить у роботу

• Документація API (endpoints, приклади запитів).
• Інструкція з експлуатації для адміністратора.
• Доступ до приватного репозиторію з кодом.
• 3 місяці технічної підтримки після запуску.
• Рекомендації щодо моніторингу та масштабування.

Зв'яжіться з нами, щоб обговорити ваш проєкт. Замовте консультацію інженера — ми допоможемо захистити ваші цифрові товари.

Розробка інтернет-магазинів

Ми знаємо: інтернет-магазин — це не просто «сайт з кошиком». Це розподілена система управління товарами, інвентарем, замовленнями, платежами, доставкою, поверненнями та комунікацією з клієнтами. Кожен блок має нетривіальну реалізацію, і більшість проблем в e-commerce виникає на стику цих підсистем. Наш досвід — понад 50 реалізованих проектів — показує, що правильна архітектура на старті економить до 40% бюджету на доробках.

Чому продуктивність каталогу деградує при зростанні SKU?

Найчастіша технічна проблема e-commerce — деградація сторінок категорій при збільшенні асортименту. Сторінка працює добре на 500 товарах і починає гальмувати на 10 000. Причини майже завжди одні й ті ж.

N+1 на атрибутах. Завантажуєте список товарів — 50 елементів. Для кожного потрібні категорія, головне фото, ціна з урахуванням знижки, наявність на складі, рейтинг. Без правильного eager loading це 250+ запитів на сторінку. В Laravel вирішується через with(['category', 'mainImage', 'currentPrice', 'stockStatus']) та withAvg('reviews', 'rating'). Але варто з'явитися персональним цінам (b2b) або складським залишкам по регіонах — і одного with() недостатньо. Потрібні Query Object або виділений ReadModel.

Фасетна фільтрація без індексів. Фільтр за кольором + розміром + брендом + діапазоном цін на таблиці в 500 000 записів без складених індексів — це seq scan при кожному запиті. PostgreSQL з правильними індексами тримає фасетну фільтрацію до кількох мільйонів товарів. Для великих каталогів — Elasticsearch або OpenSearch з агрегаціями: вони рахують кількість товарів на фільтр (facet counts) значно швидше.

Пагінація через OFFSET. LIMIT 50 OFFSET 10000 на великій таблиці — погана ідея: PostgreSQL все одно читає перші 10 050 рядків. Keyset pagination (cursor-based) через WHERE id > $last_id ORDER BY id LIMIT 50 працює за постійний час незалежно від сторінки. Як зазначено в документації PostgreSQL, cursor-based pagination гарантує O(log n) при будь-якому зміщенні, що особливо важливо для каталогів із сотнями тисяч товарів.

Конкретний кейс: каталог будівельних матеріалів, 180 000 SKU, фасетна фільтрація по 12 атрибутах. Після переходу з OFFSET-пагінації на курсорну та додавання partial index по (category_id, is_active, price) час відповіді сторінки каталогу знизився з 4,2 с до 280 мс. Економія на серверних ресурсах склала близько 30 000 ₽ на місяць. В іншому проекті (ювелірний маркетплейс) впровадження агрегацій через Elasticsearch скоротило час фільтрації з 8 до 200 мс та заощадило 50 000 ₽ на місяць на інфраструктурі — ще один приклад, як правильна архітектура знижує TCO.

Що таке race condition у кошику та як його уникнути?

Checkout — місце, де гроші або потрапляють на рахунок, або ні. Технічні проблеми тут коштують дорого.

Race condition при резервуванні товару. Два покупці одночасно додають останній екземпляр у кошик і обоє натискають «Оплатити». Без песимістичного блокування або атомарного UPDATE з перевіркою залишку обидва замовлення проходять, інвентар іде в мінус. В PostgreSQL:

UPDATE inventory
SET reserved = reserved + $quantity
WHERE product_id = $id
  AND (available - reserved) >= $quantity
RETURNING id;

Якщо RETURNING повернув 0 рядків — товару немає, показуємо помилку до списання грошей.

Ідемпотентність платіжних вебхуків. payment.succeeded від Stripe або ЮКассы може прийти двічі через мережеві збої або retry-логіку на стороні шлюзу. Без перевірки WHERE NOT EXISTS (SELECT 1 FROM processed_events WHERE event_id = $id) — дублювання замовлення або подвійне зарахування. Webhook idempotency — обов'язковий патерн для будь-якого платіжного інтегратора. Ми включаємо тест на ідемпотентність у стандартний чек-лист кожного проекту.

Checkout у кілька кроків. Multi-step checkout (адреса → доставка → оплата → підтвердження) vs single-page checkout. Дослідження показують, що single-page з прогрес-індикатором конвертує на 15–20% краще на мобільних. Стан між кроками — або localStorage + server-side сесія, або повністю server-side з проміжним збереженням. Ми гарантуємо, що кожне замовлення проходить аудит на ідемпотентність та блокування — це входить у стандартний чек-лист тестування.

Як інтегрувати 1С з інтернет-магазином?

1С — окрема глава. Три поширених способи інтеграції:

1. CommerceML через HTTP — 1С вивантажує XML за розкладом, сайт імпортує. Працює для невеликих каталогів, є затримка синхронізації.
2. REST API / OData від 1С — двостороння синхронізація в реальному часі. Вимагає налаштування на стороні 1С, примхлива до версій конфігурацій.
3. Проміжна шина (RabbitMQ / Kafka) — 1С публікує події, сайт підписується. Найнадійніший підхід для високонавантажених систем, але найдорожчий у розробці.

Служби доставки — СДЕК, Boxberry, Пошта Росії, DHL: всі надають REST API для розрахунку вартості та створення накладних. Агрегатори (Shiptor, Shipnow) дозволяють працювати з кількома службами через єдиний API.

Платіжні шлюзи

Для кожного шлюзу обов'язкова перевірка підпису вебхука — без цього будь-хто може відправити фейковий payment.succeeded.

CMS vs власна розробка

WooCommerce — виправданий для магазинів до ~5 000 SKU з типовою бізнес-логікою. Швидкий старт, величезна екосистема плагінів. Проблеми починаються при нестандартних цінових правилах, складних варіантах товарів або навантаженні від 10 000+ замовлень на місяць. Економія на ліцензії WooCommerce (безкоштовно) обертається витратами на плагіни та хостинг; для каталогу 50 000 SKU місячна вартість підтримки може перевищити 100 000 ₽.

OpenCart, Prestashop — аналогічна історія. Хороші для старту, обмежені при зростанні.

Власна розробка на Laravel — для:

• Нестандартної бізнес-логіки (підписки, оренда, b2b-прайси, конфігуратор);
• Високих вимог до продуктивності;
• Складних інтеграцій (кілька складів, ERP, маркетплейси);
• Унікального UX checkout.

Як ми розробляємо інтернет-магазин: покроковий процес

1. Аналітика та проектування. Збираємо вимоги, уточнюємо бізнес-процеси, моделюємо доменну логіку. На виході — технічне завдання та архітектурна схема.
2. Backend та API. Реалізуємо ядро (товари, кошик, замовлення), інтеграції з 1С/складами/платіжками. Використовуємо Laravel 11 з Repository pattern, чергами для асинхронних операцій.
3. Frontend та checkout. Налаштовуємо React 18 / Next.js 14 з оптимізованим рендерингом (SSR/SSG для каталогу), єдиний single-page checkout.
4. Тестування. Перевіряємо race condition, ідемпотентність вебхуків, навантажувальне тестування (k6), security-аудит.
5. Деплой та моніторинг. Розгортаємо на Vercel / Docker / виділеному сервері, підключаємо Sentry та Uptime.

SEO для e-commerce

Canonical та дублювання. Фасетна фільтрація генерує тисячі URL (?color=red&size=M&sort=price). Без canonical або noindex на фільтрованих сторінках краулінговий бюджет витрачається на дублі, а основні сторінки індексуються гірше.

Structured data. Product schema з offers, aggregateRating, availability — це rich snippets у видачі: зірочки рейтингу, ціна, наявність. Впливає на CTR.

Core Web Vitals на сторінках товарів. Hero image товару — це LCP element. fetchpriority="high" на першому зображенні, правильні srcset з WebP, width та height атрибути для запобігання CLS.

Що входить у результат роботи

Після завершення проекту ви отримуєте:

• Вихідний код та повну документацію (API, архітектура, інфраструктура);
• Доступи до репозиторію, хостингу, моніторингу (Sentry, Uptime);
• Навчання команди роботі з адмін-панеллю та кастомізаціями;
• Гарантійну підтримку 3 місяці (виправлення помилок, консультації);
• Детальний звіт по навантажувальному тестуванню та оптимізації.

Орієнтири за термінами

Вартість розраховується після аналізу вимог: кількість інтеграцій, складність ціноутворення, обсяг каталогу та унікальність UX — основні фактори. Оцінимо ваш проект безкоштовно — замовте консультацію.

Чек-лист перед запуском

• Race condition при оплаті останнього товару — покритий тестом
• Ідемпотентність вебхуків платіжного шлюзу
• Rate limiting на ендпоїнтах кошика та checkout
• Canonical на фільтрованих сторінках каталогу
• Фіскалізація чеків (ФЗ-54 для РФ або аналог)
• Стрес-тест checkout під навантаженням (k6 або Locust)
• Моніторинг помилок (Sentry) та алерти на payment errors
• Backup бази даних з перевіреним restore-процесом

Гарантуємо — кожен проект проходить цей чек-лист перед релізом. Зв'яжіться з нами — підберемо оптимальну архітектуру під ваш бюджет та терміни.