Anmeldungen nach der Bestätigung vermeiden Link klicken, um den Edelstein zu verwenden?

Question

Ich benutze devise gem, nach dem Klicken auf den Bestätigungslink, möchte ich direkt anmelden. Zurzeit wird darum gebeten, sich erneut anzumelden.

Irgendwelche Vorschläge

config.allow_insecure_token_lookup = true 
config.secret_key = 'a8d814803c0bcc735ce657adc77793459d00154cdd7532c13d3489600dc4e963f86e14beb593a32cbe9dbbe9197c9ce50a30102f363d90350052dc8d69930033' 

:

Vor kurzem habe ich folgendes in der devise initialisieren Datei hinzugefügt?

Answer 1

In früheren Versionen von Devise wurde der Benutzer nach der Bestätigung automatisch angemeldet. Dies bedeutete, dass jeder, der auf die Bestätigungs-E-Mail zugreifen konnte, sich durch Klicken auf den Link in das Konto eines anderen Benutzers einloggen konnte.

Das automatische Signieren des Benutzers kann auch beim E-Mail-Bestätigungsworkflow schädlich sein. Stellen Sie sich vor, ein Benutzer entscheidet sich, seine E-Mail-Adresse zu ändern, und macht dabei einen Tippfehler auf die neue E-Mail-Adresse. Eine E-Mail wird an eine andere Adresse gesendet, die sich mit dem Token in der Hand in diesem Konto anmelden kann.

Wenn der Benutzer die E-Mail sofort korrigiert, wird kein Schaden angerichtet. Aber wenn nicht, könnte sich jemand anderes in diesem Konto anmelden und der Benutzer würde nicht wissen, dass es passiert ist.

Aus diesem Grund signiert Devise 3.1 den Benutzer nicht mehr automatisch nach der Bestätigung. Sie können vorübergehend das alte Verhalten nach der Aktualisierung bringen durch die folgende in Ihrer config/initializers/devise.rb Einstellung:

config.allow_insecure_sign_in_after_confirmation = true

Diese Option ist nur verfügbar sein wird vorübergehend Migration zu unterstützen.

Answer 2

Das Flag config.allow_insecure_sign_in_after_confirmation wird in Devise nicht mehr unterstützt.

Während Sie sich der möglichen Sicherheitsbedenken bewusst sein sollten, wenn Sie Benutzer automatisch anmelden, wenn sie ihr Konto bestätigen (http://blog.plataformatec.com.br/2013/08/devise-3-1-now-with-more-secure-defaults/), kann der Vorteil in Bezug auf die Benutzerfreundlichkeit den Sicherheitsabwägung wert sein.

Schließlich besteht das Sicherheitsrisiko darin, dass a) der Benutzer seine E-Mail falsch eingibt, b) sie ihren Fehler nicht sofort korrigiert, c) die von ihnen eingegebene E-Mail einer gültigen und funktionierenden E-Mail entspricht; Person, die die E-Mail falsch empfängt, öffnet sie und klickt auf den Link.

Wenn dies ein akzeptables Risikoprofil für Ihre Anwendung ist, können Sie die devise ConfirmationsController außer Kraft setzen:

class ConfirmationsController < Devise::ConfirmationsController 
    def show 
    self.resource = resource_class.confirm_by_token(params[:confirmation_token]) 
    yield resource if block_given? 

    if resource.errors.empty? 
     set_flash_message(:notice, :confirmed) if is_flashing_format? 
     sign_in(resource) # <= THIS LINE ADDED 
     respond_with_navigational(resource){ redirect_to after_confirmation_path_for(resource_name, resource) } 
    else 
     respond_with_navigational(resource.errors, :status => :unprocessable_entity){ render :new } 
    end 
    end 
end 

Und Weg, um es in Ihrem routes.rb:

devise_for :users, controllers: { confirmations: 'confirmations' } 

Answer 3

Bei neueren Versionen von Devise können Sie Folgendes tun.

config/routes.rb:

devise_for :users, controllers: { confirmations: 'users/confirmations' } 

app/controllers/users/confirmations_controller. rb:

class Users::ConfirmationsController < Devise::ConfirmationsController 
    def show 
    super do |resource| 
     sign_in(resource) 
    end 
    end 
end 

Answer 4

Wir wollten so dass der Benutzer automatisch anmelden, wenn sie den Link in der E-Mail 2 Stunden oder weniger nach Benutzererstellung klickt. Basierend auf @ Sjor Antwort, gingen wir mit:

class ConfirmationsController < Devise::ConfirmationsController 
    def show 
    super do |resource| 
     if resource.confirmed_at > DateTime.now-2.hours && resource.errors.empty? 
     sign_in(resource) 
     end 
    end 
    end 
end 

Answer 5

Mit Blick auf MB21 Antwort, sollte es

sein

def show 
    super do |resource| 
    if resource.confirmation_sent_at > DateTime.now-2.hours && resource.errors.empty? 
     sign_in(resource) 
    end 
    end 
end 

confirmation_sent_at die Zeit ist, wurde die E-Mail an den Benutzer gesendet, wie, confirmed_at gegenüber, die Ist der Moment, in dem der Benutzer auf den Link klickt, der immer innerhalb von 2 Stunden auf dem Server ist, wenn es passiert ...