Question

我有一个用例，用户注册我的服务，然后通过电子邮件确认他们的注册。我遇到的问题是我必须等到确认电子邮件才能创建帐户（这是我无法更改的外部要求），因此我必须将密码存储在某处，以便可以以纯文本格式检索。 / p>

这样做的最佳方法是什么？想到的解决方案是加密它并将其存储在redis中直到用户进行身份验证，然后创建帐户并删除redis条目。

这是最好/最安全的方式吗？

Answer 1

更改流程：不要提前询问密码，先进行地址验证。

注册表仅接受电子邮件地址，并将令牌发送到链接中的电子邮件地址。通常类似于：

http://.../verify?email=bob@example.com&expires=nnn&sig=xxx

其中nnn是一个时间戳，在该时间戳之后链接变得无用且xxx为HMAC(serversecret, email+timestamp)，因此您可以进行身份验证。

在链接之后，他们会获得一个包含密码字段和任何其他详细信息的注册页面。

（奖励：如果你有一个忘记密码旅程，请使用相同的流程，因此点击该链接会获得一个注册页面或一个恢复帐户页面。）