Можно ли задавать переменную сеанса после того, как пользователь создает учетную запись, или я должен заставить их войти?

Question

После того, как новый пользователь создает учетную запись, могу ли я установить session['id'] или я должен заставить его войти в систему, чтобы установить его?

Я бы хотел установить сеанс, чтобы они могли начать настройку приложения, прежде чем ждать, пока проверка электронной почты получит их. Есть ли какие-то проблемы с безопасностью, которые мне не хватает?

Answer 1

Я говорю нет. Мне нравится отправлять письмо на учетную запись пользователя, чтобы подтвердить, что адрес электронной почты действителен. Если пользователь ввел учетные данные в новую учетную запись и впоследствии подтвердил эту учетную запись электронной почты, щелкнув ссылку в теле сообщения электронной почты, я не вижу необходимости входить в систему.

Ссылка в теле письма содержит переменную GET с ключом, и этот ключ автоматически регистрирует пользователя в первый раз. Вы можете истечь срок действия ключа, чтобы пользователь мог войти в систему только один раз. Последующие попытки входа в систему с помощью ключа должны перенаправить на обычный экран входа в систему.

Вы можете сделать его более безопасным, условно пропустив вход в систему, только если http-запрос, сделанный нажатием на ссылку в электронном письме, содержит cookie, установленный при регистрации.

Что делает принуждение пользователя войти в систему? Когда пользователь забывает свой пароль, вы все равно отправляете сообщение сброса «забытого пароля» с временным паролем на свою учетную запись электронной почты. Таким образом, электронная почта является настоящей аутентификацией вместо учетных данных для входа.