用戶是否應該在註冊後自動登錄？

Question

註冊後自動登錄用戶安全嗎？

用戶填寫登記表，一些信息郵件發送到他的郵箱，然後什麼：

• 用戶重定向到登錄頁面，要求他提供憑據;

OR

• 用戶自動登錄作爲他新創建的用戶？

我覺得自動登錄不夠安全，但無法弄清楚！

Answer 1

如果他們剛剛填寫了登錄信息，而您並不擔心確認電子郵件地址是否合法，那麼直接登錄它們應該不會有問題。

但是，你自己開放自己的人/機器人創建虛假帳戶（至少有一個沒有合法的電子郵件地址）。如果您擔心這一點（不確定它是面向公衆的應用程序或內聯網等），那麼您至少應該通過發送帶有guid或某些標識符的鏈接來驗證電子郵件地址。然後，您可以讓他們在確認後登錄。

您也可以將其綁定到他們的StackExchange/Facebook/OpenID/etc帳戶，而不是讓用戶填寫另一個表單並擔心維護所有信息。

Answer 2

他們應該需要登錄。確認電子郵件應該包含密碼而不是。如果他們設法給您錯誤的電子郵件地址，並且您自動登錄，那麼現在有人可以訪問他們的帳戶。即使你讓他們輸入他們的電子郵件地址兩次，也是如此。有時候人們連續兩次犯同樣的錯誤。

Answer 3

如果用戶在確認步驟中已經擁有活動會話作爲正確用戶，那麼自動登錄可能很安全。如果你仔細想想，它實際上並不是「自動登錄」，而只是保持它們以前的登錄狀態。

1. 用戶註冊
2. 保持會話標識
3. 用戶導航到確認頁面的用戶（在電子郵件中的鏈接）
4. 您激活帳戶

在所有的時間，有沒有理由結束會議。您希望結束會話的唯一原因（或者不是首先創建一個會話）是因爲您的權限未正確設置爲允許某人登錄/創建會話而未授予他們比未註冊用戶更高的權限。

現在，請不要僅僅因爲此用戶導航到用戶X的確認頁面而自動將用戶標識爲X.如果用戶導航到此頁面但尚未打開會話，請不要假設他知道密碼。