注册自动输入验证安全/隐私问题

Question

所以我创建了一个注册页面，可以自动检查您输入的用户名，电子邮件地址和电话是否已经存在。如果其中任何一个已经注册到某个帐户，那么只要您单击输入字段，就会在同一页面中收到通知，说明它已经注册，并且您应该输入不同的值。

现在我担心的是有人可能会写下一个脚本，它会在这些字段中强制执行值并记录输入的数据是否已经注册。这样他们就可以获得所有注册用户名，电话和电子邮件的列表。

这是否值得关注？您应该采取哪些措施？我可以实现一些只允许每个IP进行10-20次输入验证检查的东西。是否值得通过努力？是否泄漏了所有被认为是漏洞和/或不良做法的注册用户名列表？

如果您认为我应该阻止这种情况，您认为最好的方法是什么？

Answer 1

您可以使用以下内容阻止注册页面的暴力，

1. 使用验证码，例如recaptcha，首选的
2. 使用通用消息，例如“如果尚未在应用程序中注册，您将收到{email_id}上的电子邮件”。但是，正如您所提到的，您要验证用户名，电子邮件ID和电话号码。在这种情况下，您可以询问有关通过OTP验证电子邮件ID或电话号码的信息，一旦用户验证电子邮件ID或电话号码（或根据您的应用程序上下文），您可以提供选择用户名的选项。但是，恶意用户仍然可以在此处执行用户名蛮力，但您可以使用经过验证的电话号码/电子邮件ID在此方案中设置限制。