Tránh đăng nhập sau khi nhấp vào liên kết xác nhận bằng cách sử dụng đá quý devise?

Question

Tôi đang sử dụng đá quý devise, sau khi nhấp vào liên kết xác nhận, tôi muốn đăng nhập trực tiếp. Hiện tại, yêu cầu đăng nhập lại.

Gần đây tôi đã thêm sau trong devise khởi tạo file:

config.allow_insecure_token_lookup = true 
config.secret_key = 'a8d814803c0bcc735ce657adc77793459d00154cdd7532c13d3489600dc4e963f86e14beb593a32cbe9dbbe9197c9ce50a30102f363d90350052dc8d69930033' 

Bất kỳ lời đề nghị?

Answer 1

Trong các phiên bản Devise trước đó, người dùng được tự động đăng nhập sau khi xác nhận. Điều này có nghĩa là bất kỳ ai có thể truy cập email xác nhận đều có thể đăng nhập vào tài khoản của ai đó bằng cách nhấp vào liên kết.

Tự động đăng nhập người dùng cũng có thể có hại trong quy trình xác nhận lại email. Hãy tưởng tượng rằng một người dùng quyết định thay đổi địa chỉ e-mail của mình và, trong khi làm như vậy, anh ta đánh máy vào địa chỉ e-mail mới. Một e-mail sẽ được gửi đến một địa chỉ khác, với mã thông báo trong tay, sẽ có thể đăng nhập vào tài khoản đó.

Nếu người dùng sửa ngay e-mail, sẽ không có tác hại nào được thực hiện. Nhưng nếu không, ai đó có thể đăng nhập vào tài khoản đó và người dùng sẽ không biết rằng nó đã xảy ra.

Vì lý do này, Devise 3.1 không còn tự động đăng nhập người dùng sau khi xác nhận. Bạn có thể tạm thời mang lại các hành vi cũ trở lại sau khi nâng cấp bằng cách thiết lập sau trong cấu hình của bạn/initializers/devise.rb:

config.allow_insecure_sign_in_after_confirmation = true

Tùy chọn này sẽ có mặt chỉ tạm thời để hỗ trợ di dân.

Answer 2

Cờ config.allow_insecure_sign_in_after_confirmation không còn được hỗ trợ trong Devise nữa.

Mặc dù bạn phải biết các mối lo ngại về bảo mật có thể tự động đăng nhập người dùng khi họ xác nhận tài khoản của họ (http://blog.plataformatec.com.br/2013/08/devise-3-1-now-with-more-secure-defaults/), đối với một số ứng dụng, lợi ích về trải nghiệm người dùng có thể đáng giá. Sau khi tất cả, nguy cơ bảo mật là a) người dùng đánh sai email của họ, b) họ không sửa lỗi ngay lập tức, c) email họ đã nhập tương ứng với email hợp lệ và đang hoạt động, d) người nhận không chính xác email sẽ mở ra và nhấp vào liên kết.

Nếu đây là một hồ sơ rủi ro có thể chấp nhận cho ứng dụng của bạn, bạn có thể ghi đè lên ConfirmationsController devise:

class ConfirmationsController < Devise::ConfirmationsController 
    def show 
    self.resource = resource_class.confirm_by_token(params[:confirmation_token]) 
    yield resource if block_given? 

    if resource.errors.empty? 
     set_flash_message(:notice, :confirmed) if is_flashing_format? 
     sign_in(resource) # <= THIS LINE ADDED 
     respond_with_navigational(resource){ redirect_to after_confirmation_path_for(resource_name, resource) } 
    else 
     respond_with_navigational(resource.errors, :status => :unprocessable_entity){ render :new } 
    end 
    end 
end 

Và con đường để nó trong routes.rb của bạn:

devise_for :users, controllers: { confirmations: 'confirmations' } 

Answer 3

Với nhiều phiên bản gần đây của lập mưu , bạn có thể làm như sau.

config/routes.rb:

devise_for :users, controllers: { confirmations: 'users/confirmations' } 

app/controllers/người dùng/confirmations_controller.rb:

class Users::ConfirmationsController < Devise::ConfirmationsController 
    def show 
    super do |resource| 
     sign_in(resource) 
    end 
    end 
end 

Answer 4

Chúng tôi muốn người dùng đăng nhập tự động nếu cô ấy nhấp vào liên kết trong email 2 giờ hoặc ít hơn sau khi tạo người dùng. Dựa trên @ câu trả lời Sjor, chúng tôi đã đi với:

class ConfirmationsController < Devise::ConfirmationsController 
    def show 
    super do |resource| 
     if resource.confirmed_at > DateTime.now-2.hours && resource.errors.empty? 
     sign_in(resource) 
     end 
    end 
    end 
end 

Answer 5

Nhìn vào câu trả lời mb21, nó nên

def show 
    super do |resource| 
    if resource.confirmation_sent_at > DateTime.now-2.hours && resource.errors.empty? 
     sign_in(resource) 
    end 
    end 
end 

confirmation_sent_at là lần email đã được gửi đến người sử dụng, như trái ngược với confirmed_at, mà là thời điểm người dùng nhấp vào liên kết, luôn trong vòng 2 giờ kể từ bây giờ trên máy chủ khi nó xảy ra ...