Лучшая практика - процесс «забытого пользователя»

Question

В настоящее время меня попросили реализовать функцию «забытого имени пользователя» на сайте, который я унаследовал, и мне любопытно, что лучше всего подходит для процесса. Я уже придерживаюсь наилучшей практики для сброса пароля пользователя (отправив ссылку на истечение срока действия, одну ссылку на сброс), но, похоже, не существует какой-либо политики наилучшей практики для забытого имени пользователя.

Варианты, которые я видел на других сайтах, являются:

1. ввода адреса электронной почты и отправить его - это самый простой, но мне неловко об отправке имя пользователя на адрес электронной почты.

2. Введите адрес электронной почты и отправьте одноразовую ссылку с указанием срока действия, в котором отображается имя пользователя, но после того, как оно истекло или использовалось, оно, очевидно, больше не будет работать.

3. Как и для 2, но объедините его с процессом смены пароля - если пользователь забыл свое имя пользователя, он увидит их имя пользователя, но ему также придется сбросить пароль.

таблица Пользователь не имеет какой-либо другой информации создать в нем (вопрос безопасности, дата рождения и т.д.) - так что я не могу попросить любого из этой информации, не добавляя его задним числом. Но я был бы признателен за любые советы или мнения других о том, как они либо реализовали это, или как они думают, что это должно быть реализовано :).

Answer 1

Я не уверен, действительно ли это пример наилучшей практики.

Я предполагаю, что имя пользователя содержит встроенный в него адрес электронной почты? Большинство веб-сайтов, которые я видел обычно, просто просят ввести адрес электронной почты, который связан с учетной записью, и вы получите письмо, содержащее ваше имя пользователя.

Пользователь несет ответственность за защиту своих адресов электронной почты. Имя пользователя - это то, что является общественной информацией в большинстве случаев. Я не понимаю, почему вам нужно сосредоточиться на такой тайне.

То, что я хочу сделать, это ..

В качестве альтернативы, если пользователь забыл свой логин, вы можете попросить их, чтобы войти в свой адрес электронной почты вместо. Не нужно отправлять по электронной почте необходимые данные, и пользователю все еще нужно знать секретный пароль.

Answer 2

Я не вижу никаких проблем с вариантом 1, так как вы будете отправлять имя пользователя на зарегистрированный адрес электронной почты, к которому имеет доступ только зарегистрированный пользователь. Как вы говорите, так поступают другие сайты, и многие из них судимы и доверяются.

Я бы выбрал вариант 2 и 3 как излишний, если у вас нет ключевых бизнес-требований для его реализации.

Answer 3

Все предлагаемые здесь варианты открыты для вопросов безопасности. Отправка имени пользователя по электронной почте открывает его для злоумышленников, которые могут обнюхать содержимое сообщения электронной почты.

Для более безопасного подхода вы можете реализовать некоторую многофакторную проверку.

Пример:

1. На форме для открытия их имя пользователя обеспечивают их несколько входов (адрес электронной почты и DOB). Чем больше вы добавляете, тем более безопасным будет.

2. Если эти входы правильные, задайте пользователю 2 или более вопросов безопасности. Не показывайте вопросы в виде выпадающих списков, покажите их как текст.

3. Наконец, если ответы верны, то разрешите им входить в форму с их именем пользователя \ password.

** Для еще большей безопасности вставить шаг между 1 & 2, какие электронные письма случайный маркер пользователя, который они должны нажать, чтобы продолжить поток.

Я понимаю, что для большинства приложений это может показаться излишним, но если вы работаете над чем-то, что требует жесткой безопасности, вы должны быть осторожны с этим видом потока.

Эта статья обсуждает Забыли пароль, но я думаю, что это содержание применимо:

https://fishnetsecurity.com/6labs/resource-library/white-paper/best-practices-secure-forgot-password-feature