在 Meteor 中存储待处理用户密码的安全方法

Question

对于我的 Meteor 应用程序，我希望有以下注册流程：

1. 用户注册用户名、电子邮件和密码。 （他还不能登录。）
2. 已发送确认电子邮件 [Accounts.sendEnrollmentEmail]
3. 用户确认电子邮件 [Accounts.onEnrollmentLink]
4. 用户已创建。 [Accounts.createUser] （他可以登录了。）

为了实现这一点，我觉得我必须将 纯文本 密码存储在临时用户表中（第 1 步），以便稍后创建实际用户（第 3 步） .显然这是一个可怕的想法。

我当然只能从第 3 步开始询问密码并立即创建用户 - 但这不是我想要实现的行为。

那么：是否有适当的方法来安全地存储密码以便以后将其传递给用户创建？或者有没有办法创建一个不可登录的用户？

Answer 1

当您使用内置方法创建用户时，Meteor 提供了保存密码存储所需的一切，您自己无需做太多事情。所以你应该从一开始就使用这些方法（你的第 1 步：Accounts.createUser，第 2 步：Accounts.sendVerificationEmail，第 3 步：Accounts.verifyEmail，不再需要第 4 步了）。

现在要到达您想要的位置，您可以使用 David Weldon 建议的方法，但在服务器端使用 Accounts.validateLoginAttempt。这更容易一些，而且一开始就不允许登录。

例如你可以有这个代码服务器端：

Accounts.validateLoginAttempt(function(loginAttempt){
    if (!loginAttempt.allowed) {
        // Only tell the user that something went wrong but not what to enhance security
        throw new Meteor.Error(901, 'Your login credentials are wrong. Try again.');
    } else {

        // In some cases this method isn't invoked with a correct user object...
        if (!loginAttempt.user) {
            throw new Meteor.Error(902, 'No valid user object. Make sure to validate your email address first.');
        }

        // If email verification is required check if the user has a valid email address and don't allow the login if he has none
        if (!loginAttempt.user.emails[0].verified) {
            throw new Meteor.Error(902, 'Your email address has to be verified first.');
        }

        // We have a correct login!
        return true;
    }
});

现在在客户端，您可以使用这样的逻辑进行登录

Meteor.loginWithPassword(email, password, function(callback) {
    if (callback === undefined) { 
        // Your login logic
    } else if (callback.error == 902) {
        // Your "not verfied" logic
    } else {
        // Your other login errors logic
    }
}

请注意，您可能还需要稍微调整注册过程，因为 Meteor 默认尝试在注册后直接登录用户，但这不再可能了。 另请注意，您可以使用Accounts.validateLoginAttempt 来做更多的事情。例如，您还可以在此处实现一个逻辑，只允许来自同一 IP 的一定数量的错误登录尝试。

Answer 2

根据帐户包，我们在应用中使用了稍微不同的模式

1. 用户注册
2. 用户正常登录

输出主站点模板条件内容与

<template name="main">
  {{#if currentUser}}
    {{#if verified }}
      ...
    {{else}}
      Notice to user to look for their verification email
    {{/if}}
  {{/if}}
</template>

基于辅助函数

 Template.main.helpers({
   verified: function() { return Meteor.user().emails[0].verified; }
 });

这满足了用户在经过验证之前不能做太多事情的要求，但仍以简单安全的方式使用帐户包。

我也可以看到使用 Iron:router 的相关方法。