2

Здравствуйте. Использую обычный скрипт регистрации с подтверждением по email. То есть пользователь вводит логин (он же email) и пароль после чего на указанный им email летит ссылка на страницу верификации с get параметром в виде уникального хэша, что хранится в базе с его логином и паролем. На странице верификации хэш, который в базе и который пришел внутри get параметра сравниваются и т.д.

Вопрос: как мне достоверно определить почтовый адрес, с которого перешел пользователь для подтверждения? Теоретически ссылка подтверждения может улететь не туда куда надо и верификацию пройдет уже др. человек. Как вы сравниваете пользователя, который только что проходил процедуру регистрации и пользователя, который прошел по ссылке подтверждения?

Возможно ответ на этот вопрос прост, но я не имею большого опыта в этом деле поэтому прошу совета.

Спасибо.

2 ответа 2

1

По пунктам:

как мне достоверно определить почтовый адрес, с которого перешел пользователь для подтверждения? Теоретически ссылка подтверждения может улететь не туда куда надо и верификацию пройдет уже др. человек.

никак - ссылка верификации это и есть пароль на вход, для подтверждения email, ничего определять ненужно, если улетело "не туда" то это проблемы пользователя (случай сисопа-идиота). (тут вопрос в том что считать подтверждением владения почтовым ящиком, по факту - могу читать с него почту, другого подтверждения нет, но это для email, для подтверждения, например владения аккаунтом на этом форуме, можно потребовать выложить спец строку в профиль)

Как вы сравниваете пользователя, который только что проходил процедуру регистрации и пользователя, который прошел по ссылке подтверждения

мы храним в таблице кодов верификации запись типа

code: VERY-LONG-UNIQUE-CODE
user-id: 10

а в таблице юзеров мы храним

id: 10
verifed: false
5
  • Позвольте уяснить по второму пункту. А именно не понятно: "мы храним в базе запись типа" и "а в таблице юзеров мы храним". Разделение этих понятий меня приводит в ступор. Можно конкретнее о том, что вы имели ввиду? Commented 26 янв. 2014 в 12:22
  • ну я имел ввиду, что коды верификации можно хранить в другой таблице и удалять их оттуда, после подтверждения.
    – zb'
    Commented 26 янв. 2014 в 12:28
  • >тут вопрос в том что считать подтверждением владения почтовым ящиком, по факту - могу читать с него почту А так уже разрешают?)) Commented 26 янв. 2014 в 13:03
  • что разрешают ? почту читать ? конечно пользователь может прочитать свою почту.
    – zb'
    Commented 26 янв. 2014 в 13:12
  • Извиняюсь, подумал о плохом. Commented 26 янв. 2014 в 13:21
0

Выставляйте пользователю какой-нибудь токен в cookie, а в момент подтверждения адреса почты проверяйте, чтобы убедиться что по сслыке из письма пришёл тот же человек, что и регистрировался. Минусы - нельзя зарегистрироваться с работы, а ссылку подтвердить из дома. И вообще, если вдруг cookies слетят, то никак уже нельзя будет, только что заново регистрироваться. Этот способ гораздо лучше подходит для восстановления пароля.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.