註冊時通過電子郵件發送密碼

Question

在用戶註冊時向用戶發送密碼 - 在被服務器端代碼散列並存儲到數據庫之前，這是一個可怕的想法嗎？

Answer 1

如果是用戶輸入，是的，這是一個壞主意。電子郵件是未加密的，可以在郵件服務器和他們的郵件服務器之間傳輸，也可以通過訪問兩臺服務器的人閱讀。

如果是一次性臨時密碼，則風險較小，因爲之後不久應該更改密碼。

Answer 2

我會通過電子郵件發送給他們一個臨時密碼，然後要求他們在首次登錄時進行更改。在用戶有機會之前，授予某人可以改變它。

Answer 3

我的意見是這樣的。

選項1 - 如果用戶選擇他的密碼，請勿郵寄。

選項2 - 如果您生成密碼，發送給用戶，有一個鏈接來激活他的帳戶和更改密碼。

取決於用戶註冊的內容，每個選項都可以使用。

Answer 4

最好不要，因爲如果用戶指定了不正確的電子郵件地址，其他人可以使用他們的信息登錄。

另外，如果您至少沒有使用用於註冊的密碼登錄至少一次，您可以通過不允許重置密碼來更安全。

Answer 5

答案的一部分取決於您認爲您的證書需要的安全程度。如果您是銀行或任何其他處理PII的網站，那絕對是一個可怕的想法。但是如果你認爲在破解網站方面沒有真正的回報，那麼你可以自行決定。從安全角度來看，這絕對不是一個好主意，但是如果有組織因素（例如預算或遺留代碼）可能會將您帶入這樣一個角落，那麼您可以考慮它。

此外，我完全同意其他人的答覆，如果他們選擇了這些人，他們會回答建議不要發送用戶密碼。這是一個不必要的潛在安全漏洞！