Quy trình làm việc cho hệ thống 'xác minh bằng email' bảo mật là gì?

Question

Tôi đang nghĩ đến hệ thống loại diễn đàn sẽ cho phép người dùng đăng/chỉnh sửa bài đăng mà không cần tài khoản nhưng qua xác minh e-mail.

Vì vậy, bạn sẽ điền vào biểu mẫu, cung cấp địa chỉ email, gửi và sau đó nhận liên kết trong email có thể 'kích hoạt' bài đăng của bạn. Điều tương tự để chỉnh sửa. Nhấp vào 'chỉnh sửa', nhận email có liên kết, liên kết sẽ đưa bạn đến chỉnh sửa biểu mẫu.

Tôi đang cố gắng hiểu các bước chính xác để thực hiện điều này một cách an toàn. Làm cách nào để tạo liên kết sẽ hết hạn sau quá lâu? Làm thế nào để đảm bảo rằng nó đến từ địa chỉ email và không chỉ là một số bot đi xe đạp thông qua url tiềm năng?

Bất kỳ trợ giúp nào để bắt đầu đúng hướng đều được đánh giá cao.

Tôi đang sử dụng python, flask, postgres trên heroku.

Answer 1

Vì bạn đang sử dụng bình, bạn có thể muốn xem xét điều này:

http://flask.pocoo.org/snippets/50/

sử dụng ví dụ từ trên cao liên kết, các quy trình làm việc có thể là một cái gì đó như:

1. dùng nhập email và bài đăng.
2. Tạo liên kết an toàn bằng mô-đun itsdangerous có thể được liên kết với email cụ thể (được giải thích ở trên)
3. Khi người dùng nhận được email và URL cụ thể như được tạo ở bước 2, họ có thể nhấp vào đó để xác nhận bài. Bạn thậm chí có thể thêm một lớp kiểm tra bổ sung khi người dùng nhấp vào URL này, nơi bạn có thể yêu cầu họ nhập lại địa chỉ email của họ và sau đó đối chiếu nó với email được gắn với URL.