Qual è il flusso di lavoro per un sistema di 'verifica per e-mail' sicuro?

Question

Sto pensando a un sistema di tipi di forum che consentirà agli utenti di pubblicare/modificare post senza un account ma attraverso la verifica della posta elettronica.

Compilare quindi il modulo, fornire l'indirizzo di posta elettronica, inviare e quindi ricevere un collegamento in un'e-mail che "attiva" il post. La stessa cosa da modificare. Fai clic su "modifica", ricevi e-mail con link, link ti porta a modificare il modulo.

Sto cercando di capire i passaggi esatti per farlo in modo sicuro. Come posso creare un collegamento che scadrà dopo tanto tempo? Come faccio a garantire che provenga dall'indirizzo email e non solo da qualche bot che cicla attraverso potenziali url?

Qualsiasi aiuto per iniziare nella giusta direzione è apprezzato.

Sto usando python, beuta, postgres su heroku.

Answer 1

Dal momento che si sta utilizzando pallone, si potrebbe desiderare di guardare a questo:

http://flask.pocoo.org/snippets/50/

utilizzando l'esempio dall'alto di collegamento, il flusso di lavoro potrebbe essere qualcosa di simile:

1. utente entra nel email e posta
2. Generare il collegamento sicuro utilizzando itsdangerous modulo che può essere legato alla e-mail specifico (spiegato nel snipped sopra)
3. Una volta che l'utente riceve l'e-mail e l'URL specifico generato al punto 2, è possibile fare clic su di esso per confermare il post. Potresti anche aggiungere un ulteriore livello di controllo quando l'utente fa clic su questo URL, dove potresti chiedere di inserire nuovamente il loro indirizzo email e confrontarlo con l'e-mail legata all'URL.