2

Здравствуйте. Использую обычный скрипт регистрации с подтверждением по email. То есть пользователь вводит логин (он же email) и пароль после чего на указанный им email летит ссылка на страницу верификации с get параметром в виде уникального хэша, что хранится в базе с его логином и паролем. На странице верификации хэш, который в базе и который пришел внутри get параметра сравниваются и т.д.

Вопрос: как мне достоверно определить почтовый адрес, с которого перешел пользователь для подтверждения? Теоретически ссылка подтверждения может улететь не туда куда надо и верификацию пройдет уже др. человек. Как вы сравниваете пользователя, который только что проходил процедуру регистрации и пользователя, который прошел по ссылке подтверждения?

Возможно ответ на этот вопрос прост, но я не имею большого опыта в этом деле поэтому прошу совета.

Спасибо.

2 ответа 2

1

По пунктам:

как мне достоверно определить почтовый адрес, с которого перешел пользователь для подтверждения? Теоретически ссылка подтверждения может улететь не туда куда надо и верификацию пройдет уже др. человек.

никак - ссылка верификации это и есть пароль на вход, для подтверждения email, ничего определять ненужно, если улетело "не туда" то это проблемы пользователя (случай сисопа-идиота). (тут вопрос в том что считать подтверждением владения почтовым ящиком, по факту - могу читать с него почту, другого подтверждения нет, но это для email, для подтверждения, например владения аккаунтом на этом форуме, можно потребовать выложить спец строку в профиль)

Как вы сравниваете пользователя, который только что проходил процедуру регистрации и пользователя, который прошел по ссылке подтверждения

мы храним в таблице кодов верификации запись типа

code: VERY-LONG-UNIQUE-CODE
user-id: 10

а в таблице юзеров мы храним

id: 10
verifed: false
5
  • Позвольте уяснить по второму пункту. А именно не понятно: "мы храним в базе запись типа" и "а в таблице юзеров мы храним". Разделение этих понятий меня приводит в ступор. Можно конкретнее о том, что вы имели ввиду? 26 янв 2014 в 12:22
  • ну я имел ввиду, что коды верификации можно хранить в другой таблице и удалять их оттуда, после подтверждения.
    – zb'
    26 янв 2014 в 12:28
  • >тут вопрос в том что считать подтверждением владения почтовым ящиком, по факту - могу читать с него почту А так уже разрешают?)) 26 янв 2014 в 13:03
  • что разрешают ? почту читать ? конечно пользователь может прочитать свою почту.
    – zb'
    26 янв 2014 в 13:12
  • Извиняюсь, подумал о плохом. 26 янв 2014 в 13:21
0

Выставляйте пользователю какой-нибудь токен в cookie, а в момент подтверждения адреса почты проверяйте, чтобы убедиться что по сслыке из письма пришёл тот же человек, что и регистрировался. Минусы - нельзя зарегистрироваться с работы, а ссылку подтвердить из дома. И вообще, если вдруг cookies слетят, то никак уже нельзя будет, только что заново регистрироваться. Этот способ гораздо лучше подходит для восстановления пароля.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.