Автоматический логин после проверки адреса электронной почты из сообщения электронной почты

Question

Когда пользователи успешно подтвердят свой адрес электронной почты, могу ли я просто зарегистрировать их автоматически?

Я считаю следующие причины для этого:

• Ссылка является случайной хэш
• пользователей уже будет раздражать того, чтобы подтвердить
• Я буду доверять любому, кто имеет доступ к электронной почте Входящие в любом случае, так как вы можете восстановить свой пароль
• Пользователи могут конечно только проверить (и, следовательно, автовход) один раз

Я прошу, потому что отправка ссылки, в которой вы автоматически записываете, заставляет меня чувствовать, что я чего-то не хватает.

Answer 1

Лучше, если вы хотя бы попросите у них пароль для проверки электронной почты. Таким образом, вы фактически подтверждаете, что адрес электронной почты принадлежит пользователю.

Если вы автоматически авторизуетесь, вы просто убедитесь, что адрес электронной почты существует и что пользователь, которому принадлежит этот адрес электронной почты, хочет получить доступ к учетной записи.

Что касается третьего пункта: вы надеетесь, что доверяете только человеку (лицам), имеющему доступ к этому адресу, как только вы подтвердите, что адрес действительно принадлежит пользователю (что вы могли бы сделать, запросив пароль во время проверки).

Answer 2

Да, я думаю, вы должны авторизовать их автоматически. Это будет еще более раздражать, если они должны подтвердить свою электронную почту и снова войти в систему. Тогда в чем смысл проверки? Если проверка прошла успешно, значит, вы уже доверяете им, поэтому зарегистрируйте их.

Answer 3

Да, вы можете. Это вполне разумно. Пока, как вы говорите, вы разрешаете только один раз для данного сгенерированного URL-адреса.

Немного не по теме бессвязных: Хотя я немного предвзято об этом подходе, потому что я, случается, думаю, что по электронной почте на имя пользователя (т.е. генерироваться Войти маркер отправляется на адрес электронной почты) является одним из «лучше «способы предотвращения фишинга в целом, поскольку он убирает потребность в том, чтобы пользователь даже знал свой пароль для вашего сайта (им просто нужно пойти к нему и запросить токен входа»). Во всяком случае, это другое дело.