邀請使用安全密鑰

Question

我想執行的邀請系統爲ASP.NET應用程序。系統管理可以添加保存在與安全密鑰關聯的數據庫中的電子郵件地址。該安全密鑰通過鏈接發送到電子郵件。當用戶點擊鏈接時，它可以註冊一個新的帳戶，一切都在繼續。

我是一個新手的安全，所以我想知道是否有簡單和安全（不會是美國航空航天局的存檔，很明顯）的方式來實現這樣的機制。

謝謝！

Answer 1

我能想到的方法有兩種：

• 在數據庫中創建一行，並把該行的ID和邀請函中的ID的HMAC。例如?Register.aspx?UserId=3&hmac=54oreijwgoro564i3j2o543。由於客戶端無法爲其他ID重新生成HMAC，因此他不能簡單地更改URL以註冊其他用戶。
• 創建一些隨機的，唯一的字符串一行。因爲字符串是隨機的，所以很難猜測。當用戶請求?Register.aspx?Code=grewgkrwgoerwgrew432時，在數據庫中搜索具有該代碼的行。在一些項目中，我們使用guid作爲隨機令牌，但我不知道這是多麼安全/隨機。