1

Atualmente, qual a melhor maneira (a mais segura e eficiente) de exigir que o usuário confirme o cadastro através de um link enviado no e-mail informado, o que eu devo prestar atenção nesse processo, quais etapas devo seguir, o token tem muita relevancia? ou posso apenas utilizar uma função como essa: $token = md5(uniqid(rand(), true)); disponibilizada no php.net?

Outra coisa, normalmente qual é o vida útil desse token ou qual maneira posso usar para valida-lo via link?

pensei enter alguns campos como; token, data, status e utilizar o proprio id do cadastro para poder criar essa validação, mas estou com dúvidas em relação a gerar novos tokens ou simplesmente verificar a data e o status, mantendo o mesmo token sempre, isso é um problema?

se alguém pufer contribuir de alguma forma eu agradesso!!!

2 Respostas 2

1

Olá

Seu pensamento está correto no que refere-se a preocupação com a segurança. Mas, não exagere em termos de estratégia. Como disse Junior Silva não precisa ser tão rigoroso.

Outra coisa, normalmente qual é o vida útil desse token ou qual maneira posso usar para valida-lo via link?

Normalmente tenho uma tabela user_history onde armazeno o time e o token de cada usuário e pesquiso antes de abrir um novo token. Somente se o ultimo time faz 2 horas (por exemplo), então crio um novo token e retorno o mesmo para a aplicação de login.

Esta lógica funciona bem, tanto para API's como para aplicações independentes.

MD5 ainda é uma excelente opção para TOKEN's enquanto não tivermos computação quântica tentando quebrar as senhas de qualquer APP por ai.

1
  • Obriga pela ajuda, conselhos anotatos, estou levando em conta tudo que me foi falado!
    – Anj Junior
    9/04/2019 às 16:50
-1

Creio que seus temores estão complicando algo que não é de tamanha magnitude amigo. Você sim pode criar o seu token com md5 bem como com outros tipos de hash e até criar a sua própria, fica ao seu critério, só que essa hash que no caso seria o seu token, precisa ser um identificador daquele processo, vc poderá passar nela uma especie de timestamp ou poderá ter isso em um banco de dados, mas no caso do md5 não seria possível a engenharia reversa para se obter o tempo que vc passou nele, então eu recomendo algo no banco de dados, armazene esse token em uma coluna, em outra coloque um datatime, isso já deve bastar (recomendo que essa tabela seja somente para isso e não a mesma que contém os registros do usuários já validados), dessa forma faça a validação desse token e ao seu gosto verifique o datatime para saber se ele ainda é valido ou não comparando o valor de quando foi gerado o token e com a data e hora no momento da validação com uma simples condição, um if já resolve isso, se tudo estiver de acordo vc registra o usuário da forma como quiser, levando ele para um página onde ele deve informar dados complementares como o cadastro de sua senha de acesso e etc. Um novo token deva ser gerado sempre que uma novo pré-registro for realizado, armazene também nessa tabela uma coluna que sirva como identificador, no caso o e-mail, isso já poderá evitar a geração de pré-registros redundantes e desnecessários para um mesmo usuário em potencial. Espero que tenha dado uma clareada, boa sorte.

1
  • Obrigado pelos conselhos! me foram uteis e me ajudaram a simplificar o processo!!
    – Anj Junior
    9/04/2019 às 16:48

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .