Supondo que ja estou utilizando a biblioteca django.contrib.auth.tokens.default_token_generator
gerando tokens para resetar a senha de um usuário, e
queira utilizar o mesmo método para ativar o usuário, ou para qualquer outro serviço semelhante, existem os seguintes riscos?
- Revelar detalhes indesejados para o usuário como id ou a hash da senha persistida em banco;
- Assim que gerado um token 'X' em determinada ação, como por exemplo, resetar a senha, o usuário poder utilizar este mesmo token para outra ação, como por exemplo, ativar usuário;
Assim que gerado um novo token para o usuário, os tokens anteriores do mesmo usuário continuarem ativos.
Apesar de esclarecerem parcialmente minhas dúvidas nesta pergunta ainda não sei dizer como um token permanece ativado ou desativado sem a persistência em um banco de dados, seria através da atualização do campo
last_login
do usuário?Contudo gostaria de entender definitivamente a lógica por trás deste método para entender os riscos e benefícios em produção.