多租户，这个过程添加用户安全吗？

Question

我正在构建一个多租户应用程序。当用户创建帐户时，他们需要输入电子邮件 + 密码。登录后，该用户（“管理员”）可以将其他用户添加到他们的帐户中。我希望添加用户的能力很简单——只需要一个电子邮件地址。以下过程对于添加用户是否安全？

1. 管理员转到添加用户表单
2. 管理员输入用户的电子邮件地址并点击提交
3. 电子邮件 + 唯一的registration_key + registration_expiration 被输入到用户模型中
4. 新用户会收到一封包含注册链接的电子邮件（例如：http://account.myapp.com/registration/o4iwerl23msl424keree）
5. 新用户打开注册表并输入必填密码+密码确认字段
6. 如果URL中的registration_key与DB中的一致并且在注册到期之前，则用户可以注册

您会推荐一个替代方案吗？如果这是安全的，我如何绕过此过程的第 2 步和第 3 步中所需的密码 + 密码确认字段？

Answer 1

对我来说似乎足够合理。

我会在用户模型中添加一个状态列。当您邀请某人时，他们的陈述将被邀请，直到他们单击注册链接并完成所有这些事情。

然后您可以将密码验证（或在此阶段不相关的任何其他内容）设置为在这种情况下不适用

validates_presence_of :blah, :if => confirmed?

def confirmed?
  state == 'confirmed'
end

如果用户想查看哪些受邀用户成功注册，这也可能会派上用场。如果您的用户将有很多状态，您可能希望查看 aasm gem，但这将是矫枉过正。