Тема этой публикации вряд ли заинтересует опытного разработчика веб-приложений. Но для тех, кто впервые сталкивается с необходимостью реализовать работу с учетными записями зарегистрированных пользователей предлагаем подробное, иллюстрированное изложение основных моментов.
Сразу оговорюсь, что регистрацию через социальные сервисы не рассматривается, так как в этом случае работа с учетными записями остается в зоне ответственности соответствующих социальных сервисов.
Все манипуляции с учетными записями пользователя сводятся к следующим:
- регистрация с подтверждением по электронной почте;
- смена некритичных настроек;
- смена критичных настроек — с подтверждением паролем;
- смена адреса электронной почты — с подтверждением по электронной почте;
- восстановление забытого пароля.
Так как эта статья располагается в хабе веб-сервиса TheOnlyPage, то в качестве иллюстраций будем использовать скриношоты работы с этим сервивисом.
Регистрация с подтверждением по электронной почте
Как правило, в качестве уникального идентификатора пользователя используется его адрес электронной почты, а пользователь должен подтвердить его использование:
В момент регистрации имеет смысл запрашивать минимально-необходимый набор сведений о пользователе, ограничившись адресом электронной почты и паролем.
Для контроля правильности ввода пароль указывается дважды.
После получения электронной почты и пароля, на указанный адрес отправляется письмо со ссылкой содержащей строку подтверждения. Строка подтверждения однозначно идентифицирует пользователя, который проходит регистрацию.
И пользователю сообщается об этом.
Пользователь получает письмо, кликает по ссылке со строкой подтверждения, веб сервис по строке подтверждения определяет пользователя и регистрирует его в системе.
Подытожим алгоритм регистрации пользователя:
- получить адрес электронной почты и пароль
- отправить письмо со строкой подтверждения регистрации
- сообщить пользователю об отправке письма
- обработать клик по строке подтверждения и зарегистрировать пользователя
Интересным является вопрос: где хранить информацию о пользователях еще не подтвердивших свой адрес электронной почты: в отдельной таблице или вместе со всеми уже зарегистрированными пользователями.
Ответ на него очевиден: информацию о недозарегистрированных пользователях лучше хранить в отдельной таблице:
- чтобы не возникало проблем с многократными незаконченными регистрациями для одного электронного адреса;
- чтобы был порядок в работе с различными сущностями.
Смена некритичных настроек
У пользователя могут быть и какие-то другие атрибуты кроме адреса электронно почты и пароля. Доступ к редактированию и сохранению большинства из них не стоит ограничивать.
Чтобы пользователь мог, просто открыть необходимую форму:
И сохранить результат
Смена критически важных настроек
Самой первой из важных настроек, которые приходится иногда менять является пароль.
При сохранении нового пароля, как и любого другого важного атрибута пользователя, следует подтвердить сохранение вводом пароля.
Всегда новый пароль указывается дважды, чтобы не допустить ошибки ввода.
Важным моментом является способ хранения информации о пароле пользователя.
Существует множество старых, успешных веб-сервисов, сохраняющих в базе данных сами пароли. Это неправильно, недопустимо и все современные веб-приложения хранят не пароли, а их хеши.
Хеш это строка, сгенерированная из пароля и специальной секретной добавки (salt).
Еще лучшая защита данных обеспечивается, если генерировать хеш не только на основе пароля и секретной строки, но и электронной почты пользователя. Что делает невозможным подмену электронной почты без замены хеша.
Подытожим алгоритм смены пароля:
- получить старый и новый пароли;
- сравнить хеш старого пароля с хешом хранящимся в базе данных;
- если хеши совпали: вычислить хеш для нового пароля и сохранить его в базе данных.
Смена электронной почты
Электронная почта является критически важным атрибутом, поэтому при ее смене стоит указывать пароль.
Пользователь должен подтвердить принадлежность нового электронного адреса. Для этого пользователю, по указанному новому адресу электронной почты направляется письмо со ссылкой содержащей строку подтверждения. Строка подтверждения однозначно идентифицирует пользователя, который инициировал смену адреса электронной почты.
И пользователю сообщается об этом:
Пользователь получает письмо, кликает по ссылке содержащей строку подтверждения, веб сервис по строке подтверждения определяет пользователя и переадресовывает его на специальную страничку подтверждения владения учетной записью. В скрытом поле формы на этой страничке указывается специальная строка, однозначно идентифицирующую пользователя.
Пользователь должен ввести пароль, чтобы подтвердить владение учетной записью. Это нужно на случай ошибки в адресе, когда письмо-подтверждение получит посторонний человек. Чтобы он не мог присвоить чужую учетную запись, просто кликнув по ссылке в письме.
Пользователь указывает пароль, и подтверждает смену адреса.
Подытожим алгоритм смены электронной почты пользователя:
- получить адрес электронной почты и пароль;
- сравнить хеш пароля и хешом хранящимся в базе данных;
- если хеши совпали: отправить письмо со строкой подтверждения смены адреса
- сообщить пользователю об отправке письма;
- обработать клик по строке подтверждения и отобразить страницу подтверждения владения учетной записью;
- получить специальную строку и пароль пользователя, по специальной строке определить пользователя и убедиться в правильности пароля (аналогично п.2);
- если пароль правильный: заменить в базе данных старый электронный адрес на новый, а если хеш пароля вычисляется с использованием адреса электронной почты – то, одновременно вычислить и сохранить в базе данных новый хеш пароля.
Смена забытого пароля
При инициировании смены забытого пароля пользователь должен указать адрес электронной почты.
После получения адреса электронной почты на указанный адрес отправляется письмо со ссылкой содержащей строку подтверждения. Строка подтверждения однозначно идентифицирует пользователя, который восстанавливает пароль.
И пользователю сообщается об этом:
Пользователь получает письмо, кликает по ссылке подтверждения. Веб-сервис по строке подтверждения определяет пользователя и переадресовывает его на специальную страничку ввода нового пароля. В скрытом поле формы на этой страничке указывается специальная строка, однозначно идентифицирующая пользователя.
Как обычно новый пароль указывается дважды, чтобы не допустить ошибки ввода.
Подытожим алгоритм смены электронной почты пользователя:
- получить адрес электронной почты;
- отправить письмо со строкой подтверждения смены пароля;
- сообщить пользователю об отправке письма;
- обработать клик по строке подтверждения и отобразить страницу смены пароля;
- получить специальную строку и новый пароль пользователя, по специальной строке определить пользователя и сгенерировать хеш нового пароля и сохранить в базе данных;
Специальная строка, идентифицирующая пользователя
При регистрации, смене адреса и смене забытого пароля используется специальная строка (токен) идентифицирующая пользователя.
Есть два способа генерации таких строк:
Первый (с использованием базы данных):
Генерировать случайную последовательность и сохранять ее в базе данных в отдельной таблице с указанием
id пользователя, типа, времени жизни этого сообщения. Затем, получив подобную строку обращаться к этой таблице и находить по строке id пользователя. Периодически чистить таблицу от накопившихся нереализованных сообщений.Второй (с шифрованием):
Генерировать псевдослучайную последовательность зашифровав информацию об
id пользователя, типе сообщения и времени жизни сообщения в самом сообщении. А при получении строки расшифровать и получить всю информацию без обращений к базе данных.Вот как может выглядеть работа со специальной строкой (токеном) на языке python, с использованием библиотеки
itsdangerousПри генерации токена
from itsdangerous import TimedJSONWebSignatureSerializer as Serializer
# создаем сериализатор указав, используемый секретный ключ
# и время жизни (в секундах) зашифрованной информации
serializer = Serializer('very_secreti_key', expires_in=60*60*24 )
# получаем специальную строку содрежащую всю информацию
id=1234567
token = serializer.dumps( {'newemail': id} ) }
Получив специальную строку, можем извлечь из неё информацию
# создаем сериализатор указав, используемый секретный ключ
serializer = Serializer('very_secreti_key')
# получаем зашифрованные данные:
# {'newemail': 1234567}
try:
data = serializer.loads( token )
Очевидно, что второй способ, без использования дополнительной таблицы базы данных, является предпочтительным.
