Как разрешить другим пользователям регистрироваться с уже принятым, но не подтвержденным письмом?

Question

Я разрабатываю приложение, которое требует аутентификации с помощью devise / rails, и было решено разрешить пользователям входить без подтверждения по электронной почте. Однако после долгих размышлений вспомнил этот странный рабочий процесс:

Что, если кто-то зарегистрируется с моей электронной почтой, начнет использовать ее и позже Я решил присоединиться к приложению с моей украденной электронной почтой? Парень не подтвердить, но я должен сохранить свой аккаунт, заблокировать или удалить его? (примечание: адрес электронной почты должен быть уникальным)

Answer 1

Как дизайнер приложения, вы находитесь под контролем. Вы можете справиться с этой ситуацией так, как вам хотелось бы.

Я не уверен, как Facebook работает с «неподтвержденными» созданиями аккаунтов. Я полагаю, что они позволяют любому зарегистрированному лицу проверить свою электронную почту и щелкнуть ссылку подтверждения в течение определенного периода времени, после чего эта электронная почта становится доступной для использования другими пользователями. Это имеет смысл для меня, так как это предотвратит спам людей на сайте и эффективно «блокирует электронную почту» от регистрации законных пользователей. Если вы навсегда разрешите неподтвержденным учетным записям сидеть и «использовать» электронную почту, вы можете столкнуться со следующей ситуацией:

Злоумышленник создает тысячи «поддельных» попыток регистрации учетной записи с помощью поддельных писем. Эти электронные письма сидят и ждут, чтобы быть подтвержденными, но никогда не будут, потому что они не существуют (пока), действуя как «используемые» электронные письма. Некоторое время спустя, законный пользователь создает учетную запись электронной почты в GMail или кого-либо, кто случайно совпадает с одним из «поддельных» электронных писем, отправленных злоумышленником ранее. Этот законный пользователь не сможет зарегистрировать свою электронную почту в вашей службе, поскольку злоумышленник заблокировал этот адрес электронной почты.

Мое личное мнение состоит в том, чтобы дать владельцу регистрации определенное количество времени для подтверждения его адреса как законного, и если они никогда не подтвердят в течение этого периода времени, просто откажитесь от попытки создания учетной записи.

Answer 2

У меня очень похожая проблема, и решение, которое я получил (еще не реализовано), состоит в том, чтобы заставить пользователя выбрать желаемое письмо, если нет другого подтвержденного пользователя с таким письмом.

После регистрации пользователь будет неподтвержден / неактивен и получит электронное письмо с подтверждением, после перехода по ссылке он подтвердит свою электронную почту, и другие больше не смогут его использовать.

Answer 3

Есть ли у вас действие «отправить подтверждение по электронной почте» (вы должны) или «пароль забыт» (вы должны)? С обоими я мог восстановить учетную запись с моим адресом электронной почты, поскольку только у меня есть доступ к моим электронным письмам.

Также подумайте о случае пользователя, который создает учетную запись, забывает об этом и создает другую учетную запись с тем же адресом электронной почты.

Answer 4

Большинство этих сайтов требуют подтверждения вашей электронной почты, отправив вам ссылку на электронную почту.Только после этого вы можете создать учетную запись.Это позволяет легко обойти проблему, когда кто-то пытается украсть чужую электронную почту: если они не смогут войти в вашу учетную запись, они просто не смогут.