电子邮件验证后完成个人资料

Question

我正在为两种不同类型的用户构建一个 Web 应用程序，并为每个用户使用不同的注册表单。我可以拆分这些表单并在表单验证后发送验证电子邮件。

但我更喜欢使用一种通用的小表单，用户可以在其中输入他/她的电子邮件地址和用户类型。然后，服务器会发送一封带有链接的验证电子邮件，以进一步完成配置文件，具体取决于所选的用户类型。

现在我的问题是：我应该在小注册表中包含密码字段吗？我以前在很多网站上都看到过它，但我不明白为什么要包含它。我的计划是让用户在完成个人资料时选择他/她的密码。在他/她完成个人资料之前，不会存储有关用户的任何信息（我会在 URL 中使用时间戳安全地散列电子邮件地址）。

Answer 1

一般来说，开发人员在注册时会询问所有详细信息，包括密码，他们允许使用相同的密码登录。但是，存在未经验证的用户可以访问应用程序的全部或部分功能的公开风险。有时应用程序还会提供 24-72 小时的时间范围来激活用户帐户，在此期间用户可以访问帐户但有一些限制。

对于敏感的应用程序，您可以在用户验证电子邮件地址后要求输入密码。因此，您对经过验证的用户感到放心。

如果您提供无需验证即可访问用户帐户的功能，请确保未经验证的帐户用户可以根据您的应用程序上下文访问有限制的帐户。