Подкиньте идейку:

Есть определенная система с зарегистрированными пользователями. Пользователи внутри могут писать друг другу сообщения. 
Когда юзер отправляет другому юзеру сообщение, то последнему приходит на email письмо, в нем указано: 

что такой-то юзер отправил вам сообщение, чтобы ответить на это сообщение перейдите по ссылке.

Тут и вопрос: как реализовать подобный переход по ссылке? 

Я остановился на таком варианте: 
Передавать в этой ссылке следующие параметры: id юзера и пароль в md5, и email этого же юзера в md5, и другие идентификаторы сообщения и т.д. Далее по нажатию все это передается определенному скрипту. Выполнится авторизация: по id юзера достанется его email из базы, зашифруется в md5, проверится с тем что пришел в запросе, если он совпадет, то далее сравнится пришедший пароль, если все нормально, то после этого - редирект на нужную страницу.

Первый раз с такой задачей столкнулся, по этому хотелось бы услышать что не так, или можно это как-то по другому сделать




Это сообщение отредактировал(а) patap - 28.10.2009, 10:50

странная проблема.
во-первых, никто никогда не авторизует пользователя по ссылке.
во-вторых, непонятно, в чем вообще проблема. пройти по ссылке в закрытый раздел сайта и далее действовать обычным порядком

может я неправильно все это представляю...

если переходить по ссылке без проверок, то тогда теряется смысл персональной старницы юзера. 

используя такую ссылку любой человек сможет перейти по ней туда, куда ему "ненужно"

у вас в персональную страницу может зайти кто угодно? 

эта система, с пользователями - она у вас уже написана и работает?
или только в мечтах существует?

по-моему, на реальной системе не может возникнуть вопрос, описанный в первом посте.

Вариант 1) не передавать пароли, а запоминать авторизацию через куки, тогда при заходе на сайт по ссылке он автоматически авторизуется или запросит авторизацию с галкой типа запомнить меня

Вариант 2) как вар-нт передать пару ключиков в мд5, скажем мд5 от логина и мд5 от какой-то строки, в которой есть пароль и ещё какиень-дь параметры пользователя. Чистым логин передавать смысла нету, лучше через мд5, потом можно запрос по баге сразу по мд5 сделать

Вар-т 2 возможно кто-то скажет, что так типа нельзя, но смотри сам, ИМХО по безопасности тут проблем нету, хрен кто подберёт эти 2 ключика по мд5. как вар-нт можно и один ключик собрать от сложной строки поидее этого достаточно, но я бы предпочёл именно так как описал.

на стадии разработки. авторизация написана, персональные страницы защищены.

Если тот, кому написали сообщение, на момент получения уведомления не находится в системе, то получив на почту уведомление, ему нужно сформировать ссылку так чтобы он при нажатии на нее попал в систему и она (система) знала кто это такой и куда его направлять. Т.е нужны какие-то параметы...

Если пользователь на момент получения сообщения находится в системе, то при переходе по ссылке из письма, без всяких параметров, ясное дело он попадет на свою персональную страницу без всяких проверок..

вот как я это понимаю...

Добавлено через 14 минут и 57 секунд
brother79, да, мне пока что второй вариант тоже кажется более подходящим

ничего подобного


в раздел личных сообщений. 


о. уже подтянулись немеряно крутые специалисты. по информационной безопасности.
данный форум, на котором нам выпало счастье общаться с этими специалистами, конечно же лохи писали.
не догадались сделать такой удобный и безопасный функционал. вот беда - не было у них такого опытного и авторитетного консультанта

Добавлено @ 11:56
patap, допустим, я пользователь этого проектируемого мегапортала.
И я такой поклонник сайта, что мой персональный раздел поставлен аж в виде стартовой страницы в браузере.
И первым делом, придя на работу и включив компьютер, я бегу на любимый сайт.

Что я увижу в браузере?
или такой вариант вам до сих пор в голову не приходил?
Что страницу можно занести в закладки к примеру?

Сходными сервисами на других сайтах вы, как я понял, тоже никогда не пользовались?

Это сообщение отредактировал(а) Ипатьев - 28.10.2009, 12:13

зависит от того, сохраняется пользовательская сессия при закрытии браузера или нет.

в моем варианте сессия должна прерываться

Это сообщение отредактировал(а) patap - 28.10.2009, 12:09

Да что вы говорите! Неужели зависит?
А по ссылке из письма - не зависит. А в чем разница?

И почему создатели других сайтов, не впервые в жизни проектириуемых в мечтах, а реально работающих, не додумались до такой гениальной идеи авторизации?

Добавлено @ 12:14

допустим, не сохраняется.
что я увижу? какие будут мои действия?

Добавлено через 8 минут и 41 секунду

почему?


Это сообщение отредактировал(а) Ипатьев - 28.10.2009, 12:15

перекинет на главную страницу, где будет форма для входа



всегда так делал 

patap, вы придумываете проблему там, где ее нет. В письме просто указывайте ссылку http://mydomain.ru/profile/messages.html. При переходе если пользователь не авторизован, то показываем форму с авторизацией. При входе делаете редирект куда нужно.

а почему в случае с почтой вы вдруг резко поменяли свое мнение? и сессия должна продолжаться, как будто и не прерывалась?


а потом? снова на главную?
послушайте, сделайте одолжение. зарегистрируйтесь на каком-нибудь сайте с приватной перепиской. И получите себе оттуда письмо о приватном сообщением. И посмотрите, куда и как вас направляют.
этим вы окажете очень большую услугу и себе и окружающим.

т.е нужно остановиться на:

1. сессия остается активной, и при переходе по ссылке он попадет сразу туда, куда нужно
2. если юзер вышел (нажал выход) - то при переходе по ссылке его кинет на авторизацию..

однако да... просто

более того.
это стандартное поведение любого сайта при заходе в закрытый раздел.
откуда человек в него перешел - по ссылке из емейла, из "избранного", или просто сессия по тайм-ауту убилась - разницы никакой. 

И не забудь потом редирект сделать туда, по какой ссылки он пришёл, а то на некоторых форумах, если не залогинен, кидает на авторизацию, а потом снова надо ссылку искать, чтобы попасть куда надо.