Безопасно ли автоматически входить в систему после регистрации?
Пользователь заполняет регистрационную форму, на его почтовый ящик приходит информационное сообщение, и что дальше:
ИЛИ
Я чувствую что-то не достаточно безопасное в автологине, но не могу понять!
Если они только что заполнили данные для входа, и вы не беспокоитесь о том, чтобы подтвердить, что адрес электронной почты является законным, тогда не должно быть проблем, просто войдите в систему напрямую.
Однако вы открываете себя для людей/ботов, создающих поддельные учетные записи (по крайней мере, без законных адресов электронной почты). Если вы обеспокоены этим (не уверены, что это общедоступное приложение или интранет и т. д.), вам следует хотя бы подтвердить адрес электронной почты, отправив ссылку с guid или каким-либо идентификатором, который вы можете отследить. Затем вы можете позволить им войти в систему после их подтверждения.
Вы также можете просто привязать его к своей учетной записи StackExchange/Facebook/OpenID/и т. д. и не заставлять пользователей заполнять еще одну форму и беспокоиться о сохранении всей этой информации.
Они должны войти в систему. Кроме того, электронное письмо с подтверждением не должно не содержать их пароль. Если им удалось дать вам неправильный адрес электронной почты, и вы автоматически вошли в систему, то теперь кто-то другой имеет доступ к их учетной записи. Это справедливо даже в том случае, если вы попросите их ввести свой адрес электронной почты дважды. Иногда люди совершают одну и ту же ошибку дважды подряд.
Автоматический вход в систему может быть безопасным, если у пользователя уже есть активный сеанс в качестве правильного пользователя на этапе подтверждения. Если вы думаете об этом, на самом деле это не «автоматическая регистрация их», а просто сохранение их в системе, как это было раньше.
За все это время не было причин заканчивать сессию. Единственная причина, по которой вы хотели бы завершить сеанс (или вообще не создавать его), заключается в том, что ваши разрешения не установлены должным образом, чтобы разрешить кому-либо войти в систему / создать сеанс, не предоставляя им более высокие привилегии, чем незарегистрированный пользователь.
Теперь позаботьтесь о том, чтобы автоматически не идентифицировать пользователя как X просто потому, что этот человек перешел на страницу подтверждения пользователя X. Если пользователь переходит на эту страницу, но еще не имеет открытого сеанса, не предполагайте, что он знает пароль.
