Unikaj logowania po kliknieciu linku potwierdzajacego za pomoca programu Devise Gem?

Question

Używam klejnotu devise, po kliknięciu w link potwierdzający chcę się bezpośrednio zalogować. Obecnie prosi o ponowne zalogowanie.

Ostatnio dodałem następujące w devise zainicjować plik:

config.allow_insecure_token_lookup = true 
config.secret_key = 'a8d814803c0bcc735ce657adc77793459d00154cdd7532c13d3489600dc4e963f86e14beb593a32cbe9dbbe9197c9ce50a30102f363d90350052dc8d69930033' 

jakieś sugestie?

Answer 1

W poprzednich wersjach Devise użytkownik został automatycznie zalogowany po potwierdzeniu. Oznaczało to, że każdy, kto miałby dostęp do e-maila z potwierdzeniem, mógł zalogować się na czyjeś konto, po prostu klikając link.

Automatyczne podpisywanie użytkownika może również być szkodliwe w przepływie pracy potwierdzającym e-mail. Wyobraź sobie, że użytkownik decyduje się na zmianę swojego adresu e-mail, a jednocześnie robi literówkę na nowym adresie e-mail. Wiadomość e-mail zostanie wysłana na inny adres, który za pomocą tokena będzie mógł zalogować się na to konto.

Jeśli użytkownik natychmiast poprawi wiadomość e-mail, nie wyrządzi szkody. Ale jeśli nie, ktoś inny mógłby zalogować się na to konto, a użytkownik nie wiedziałby, że to się stało.

Z tego powodu Devise 3.1 nie powoduje już automatycznego podpisania użytkownika po potwierdzeniu. Można tymczasowo przynieść starego zachowania powrotem po uaktualnieniu przez ustawienie następujących w config/inicjalizatorów/devise.rb:

config.allow_insecure_sign_in_after_confirmation = true

Ta opcja będzie dostępna tylko tymczasowo w celu ułatwienia migracji.

Answer 2

Flaga config.allow_insecure_sign_in_after_confirmation nie jest już obsługiwana w programie Devise.

Należy mieć na uwadze możliwe obawy dotyczące bezpieczeństwa polegające na automatycznym rejestrowaniu użytkowników podczas potwierdzania ich konta (http://blog.plataformatec.com.br/2013/08/devise-3-1-now-with-more-secure-defaults/), jednak w przypadku niektórych aplikacji korzyść pod względem komfortu użytkowania może być warta kompromisu w zakresie bezpieczeństwa.

W końcu ryzyko związane z bezpieczeństwem polega na tym, że a) użytkownik nieprawidłowo wpisuje swoją wiadomość e-mail, b) nie natychmiast poprawia swój błąd, c) wpisany adres e-mail odpowiada poprawnemu i działającemu adresowi e-mail, d) osoba, która nieprawidłowo otrzyma wiadomość e-mail, otworzy ją i kliknie link.

Jeśli jest to akceptowalny profil ryzyka dla danej aplikacji, można zastąpić ConfirmationsController opracować:

class ConfirmationsController < Devise::ConfirmationsController 
    def show 
    self.resource = resource_class.confirm_by_token(params[:confirmation_token]) 
    yield resource if block_given? 

    if resource.errors.empty? 
     set_flash_message(:notice, :confirmed) if is_flashing_format? 
     sign_in(resource) # <= THIS LINE ADDED 
     respond_with_navigational(resource){ redirect_to after_confirmation_path_for(resource_name, resource) } 
    else 
     respond_with_navigational(resource.errors, :status => :unprocessable_entity){ render :new } 
    end 
    end 
end 

i droga do niego w swoim routes.rb:

devise_for :users, controllers: { confirmations: 'confirmations' } 

Answer 3

Z nowszych wersjach opracować możesz wykonać następujące czynności.

config/routes.rb:

devise_for :users, controllers: { confirmations: 'users/confirmations' } 

app/controllers/users/confirmations_controller.rb:

class Users::ConfirmationsController < Devise::ConfirmationsController 
    def show 
    super do |resource| 
     sign_in(resource) 
    end 
    end 
end 

Answer 4

Chcieliśmy użytkownik więc zalogować się automatycznie, jeśli ona kliknie link w mailu, 2 godziny lub mniej po utworzeniu użytkownika. Na podstawie @ odpowiedź Sjor jest, wybraliśmy się z:

class ConfirmationsController < Devise::ConfirmationsController 
    def show 
    super do |resource| 
     if resource.confirmed_at > DateTime.now-2.hours && resource.errors.empty? 
     sign_in(resource) 
     end 
    end 
    end 
end 

Answer 5

Patrząc mb21 jest odpowiedzią powinno być

def show 
    super do |resource| 
    if resource.confirmation_sent_at > DateTime.now-2.hours && resource.errors.empty? 
     sign_in(resource) 
    end 
    end 
end 

confirmation_sent_at jest czas, wiadomość została wysłana do użytkownika, w przeciwieństwie do confirmed_at, który jest moment, w którym użytkownik kliknie link, który zawsze jest w ciągu 2 godzin od teraz na serwerze, kiedy to się stanie ...