javascript — регистрация автоматической проверки безопасности ввода / проблема конфиденциальности
Поэтому я создал страницу регистрации, которая автоматически проверяет, существует ли уже введенные вами имя пользователя, адрес электронной почты и телефон. Если какой-либо из них уже зарегистрирован в учетной записи, вы получите уведомление на той же странице, как только вы щелкнете из поля ввода, сообщив, что оно уже зарегистрировано и вам следует ввести другое значение.
Теперь меня беспокоит то, что кто-то может записать скрипт, который будет перебирать значения в этих полях и записывать, зарегистрированы ли введенные данные или нет. Таким образом, они могут получить список всех зарегистрированных имен пользователей, телефонов и электронных писем.
Это что-то, о чем нужно заботиться и что-то, что ты должен предотвратить? Я могу реализовать что-то, что позволяет только 10-20 проверок проверки входных данных для каждого IP. Стоит ли идти через усилия? Является ли утечка списка всех зарегистрированных имен пользователей уязвимой и / или плохой практикой?
Если вы думаете, что я должен предотвратить это, как вы думаете, что будет лучшим способом сделать это?
Решение
Вы можете предотвратить грубую силу страницы регистрации, используя следующее,
- Использование капчи, такой как recaptcha, предпочтительнее
- Использование общего сообщения, такого как «Вы получите электронное письмо на {email_id}, если оно еще не зарегистрировано в приложении». Однако, как вы упомянули, вы хотите подтвердить имя пользователя, идентификатор электронной почты и номер телефона. В этой ситуации вы можете запросить подтверждение идентификатора электронной почты или номера телефона с помощью OTP. После того, как пользователь подтвердит идентификатор электронной почты или номер телефона (или оба в соответствии с контекстом вашего приложения), вы можете указать вариант выбора имени пользователя. Тем не менее, злоумышленник по-прежнему может использовать здесь имя пользователя, но вы можете установить ограничение в этом сценарии, используя проверенный номер телефона / идентификатор электронной почты.
Другие решения
Других решений пока нет …