通過電子郵件消息驗證電子郵件地址後自動登錄

Question

當用戶驗證他們的電子郵件地址成功後，我可以自動登錄嗎？

我考慮以下的理由這樣做：

• 鏈接是隨機哈希
• 用戶將已經具有惹惱驗證
• 我相信任何人誰有權訪問的電子郵件收件箱中，無論如何，因爲你可以重置您的密碼
• 用戶當然只能驗證（並因此自動登陸）一旦

我在問，因爲發送一個鏈接可以讓你自動登錄，這讓我覺得我失去了一些東西。

Answer 1

如果您至少要求他們輸入驗證郵件的密碼，那更好。這樣，您實際上確認電子郵件地址屬於用戶。

如果您自動登錄，您只需驗證電子郵件地址是否存在，並確定此電子郵件地址所屬的用戶想要訪問該帳戶。

關於你提到的第三點：你只希望訪問該地址相信人一旦確認該地址實際上是屬於用戶（您可以通過驗證時詢問密碼一樣）。

Answer 2

是的我認爲你應該自動登錄它們。如果他們必須驗證他們的電子郵件然後再次登錄，那將更加惱人。那麼驗證的重點是什麼？如果驗證成功，意味着您已經信任它們，請登錄。

Answer 3

是的，您可以。這很合理。只要你說，你只允許它爲給定的生成的URL一次。

稍微偏離話題東拉西扯： 雖然我略微偏對這種做法，因爲我碰巧認爲，基於電子郵件的登錄（即生成的登錄令牌發送至電子郵件）是的​​「更好的一個「防止網絡釣魚一般，因爲它不需要用戶甚至知道您的網站的密碼（他們只需要去它並要求一個'登錄'令牌）。無論如何，這是另一回事。