0

Добрый день!

Нужна помощь в таком вопросе:
Есть функционал личных сообщений на сайте, после каждого сообщения приходит пользователю уведомление на email. С этого сообщения можно нажать на ссылку "прочитать", которая ведет на диалог на сайте. НО проблема в том, что если у пользователя закончилась сессия, то его просто будет перекидывать на 404 ошибку.

Вопрос в следующем: как правильно сделать БЕЗОПАСНУЮ ссылку, чтоб в случае разлогивания юзера на сайте он автоматом залогинился.
Мне не нужно готовое решение, мне хотелось бы узнать, кто как делал, чтоб обезопасить систему, может быть, ссылка должна быть 1-разовая, после перехода она ставала неактивной?

3 ответа 3

1

Для этих целей действительно делаются одноразовые ссылки! Хранить их можно в отдельной таблице, связав с пользователем, к примеру, 'tokens'. При логине таким образом токен обнуляется! А при отсылке сообщения генерируется заново. + задавать время жизни.

2
  • ИМХО: Не советую проверять рефер... у многих стоят почтовые клиенты! и переход осуществляется не с web-интерфейса (Это к ответу от terantul..)
    – Hawk
    29 сен 2014 в 8:10
  • Проверка как один из вариантов для подтверждения.
    – terantul
    30 сен 2014 в 18:44
0

Делал подобное. Генерируется ссылка (в моём случае было 50 символов латиница (верхний и нижний регистры) и цифры). Записывалась в базу с указанием, кому было отправлено (id пользователя). После перехода по ссылке запись из БД удалялась. Так как известен почтовик пользователя, то дополнял проверку реферера. Отправив письмо пользователю на user@gmail.com, получить переход с пустым реферером или с мейлру было бы странно. В дальнейшем собирался подключить проверку куки и сравнивать ip-адреса. Большинство пользователей заходит с одного или нескольких постоянных адресов, что позволило бы увеличить урвоень идентификации. Но проект закрыли, и всё ушло в архив.

0

Писать некий ключ в базу, который будет давать доступ, либо же составить функцию генерации этого ключа, + ответ выше.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.