Как убрать логин из ссылки

Логин в ссылке

#1 4 апреля 2016 в 13:58
Проблема такова, при переходе в профиль любого юзера в ссылке можно обнаружить его логин (ник не соответствует логину). Это можно сказать минус в безопасности (у меня) прошу помочь, ветка 1.10.6
#2 4 апреля 2016 в 15:17
Забавно)) в двойке народ наоборот хочет добавить логин!
#3 5 апреля 2016 в 16:16


Забавно)) в двойке народ наоборот хочет добавить логин!

Val

Дело в том что логин для взломщка добыть не составит труда, достаточно глянуть в ссылку. вы не считаете это опасным? Взломщику останется найти только пароль и всё.
#4 6 апреля 2016 в 10:09

Дело в том что логин для взломщка добыть не составит труда, достаточно глянуть в ссылку. вы не считаете это опасным? Взломщику останется найти только пароль и всё.

polet
Согласен с вами, чем меньше персональной информации предоставляется для взломщка тем лучше. Считаю авторизация через email наиболее оптимальный вариант, однако много народу упорно требуют внедрить авторизацию через логин для iCMS 2.x, что, повторюсь, не хорошо по описанным вами причинам. Но "требователям" это не интересно — главное облегчить себе переход на двойку)))
#5 6 апреля 2016 в 13:41


Дело в том что логин для взломщка добыть не составит труда, достаточно глянуть в ссылку. вы не считаете это опасным? Взломщику останется найти только пароль и всё.

polet
Согласен с вами, чем меньше персональной информации предоставляется для взломщка тем лучше. Считаю авторизация через email наиболее оптимальный вариант, однако много народу упорно требуют внедрить авторизацию через логин для iCMS 2.x, что, повторюсь, не хорошо по описанным вами причинам. Но "требователям" это не интересно — главное облегчить себе переход на двойку)))

Val

Довольно интересное требование с их стороны))) Я Вас понял, в общем тема открыта если Вы что то узнаете будьте добры скажите мне об этом. Кстати авторизация как раз у меня работает, но если взломщик подберёт пароль к логину (а логин он уже знает) то авторизация через майл не поможет, правильно мыслю?
#6 6 апреля 2016 в 21:34
Val,
А насколько сильно связан метод авторизации по логину с его отображением в ссылке?
Неужели нельзя авторизоваться по паре логин-пароль, а адресной строке отображать id пользователя?
#7 6 апреля 2016 в 22:08
HiAndy, а зачем вообще тогда использовать логин? Чем не устраивает email? Зачем вносить энтропию в систему?
Сейчас у всех пользователей интернета есть уникальный email, при регистрации не надо ничего придумывать. В то время как логин сначала нужно придумать, а затем он еще может оказаться не уникальным, и чем больше сообщество тем вероятнее что он будет не уникальным. Помнить разные логины для разных сайтов проблемаично (следствие).
Также при потере пароля email можно использовать для его восстановления.
#8 6 апреля 2016 в 22:18
Val,
Вы сами ответили на свой вопрос в предыдущем посте:

облегчить себе переход на двойку

Val

А вот в этом утверждении есть большие допуски и посадки:

Сейчас у всех пользователей интернета есть уникальный email, при регистрации не надо ничего придумывать

Val
У всех пользователей интернета не значит, что у всех пользователей сайтов на инстанте. У некоторых пользователей одинаковые имейлы, у некоторых, благодаря глюкам ранних версий инстанта, их нет вовсе.
#9 6 апреля 2016 в 22:30

Вы сами ответили на свой вопрос в предыдущем посте:
Val:
облегчить себе переход на двойку

HiAndy
Вот и получается что для того чтобы пользователи могли перейти с первой ветки на вторую надо вводить во вторую ветку откровенный костыль? Может лучше сделать это в отдельном миграторе? И в целом не понимаю зачем нужно переводить сайт с первой версии на вторую? Это разные движки по коду, не смотря на их название и целевой схожестью. Все равно что хотеть перевести сайт с Wordpress на Joomla например)) При этом, если очень хочется то можно! Но зачем пользователи Joomla должны получать что-то лишнее из функционала Wordpress?

Еще раз повторю, что гораздо логичнее решать проблему перехода мигратором, а не внесением дополнительного функционала в целевой движок.

У всех пользователей интернета не значит, что у всех пользователей сайтов на инстанте. У некоторых пользователей одинаковые имейлы, у некоторых, благодаря глюкам ранних версий инстанта, их нет вовсе.

HiAndy
"Динозавры" у которых нет email тормозят прогресс инстанта! Снова вопрос — почему небольшой процент людей должен диктовать внесение логинов в двойку для регистрации/перехода?
#10 6 апреля 2016 в 22:50

Может лучше сделать это в отдельном миграторе?

Val
Может и лучше. Много ли существует миграторов отдельных и слитных?

И в целом не понимаю зачем нужно переводить сайт с первой версии на вторую?

Val
Вопрос религиозный.
Как Вам такой резон: желание владельца сайта.

Еще раз повторю, что гораздо логичнее решать проблему перехода мигратором, а не внесением дополнительного функционала в целевой движок.

Val
Еще раз спрошу: как сможет зайти пользователь под своим аккаунтом после миграции, если его имейл давно стерся благодаря глюкам движка?

"Динозавры" у которых нет email тормозят прогресс инстанта!

Val
Имейла у них нет не по их вине. Он просто утрачен из базы сайта благодаря нюансам старых версий.

Снова вопрос — почему небольшой процент людей должен диктовать внесение логинов в двойку для регистрации/перехода?

Val
Никто никому ничего диктовать не собирается. Есть вполне работающее решение, его вполне достаточно.
Вопрос мною был задан вполне конкретный:

Неужели нельзя авторизоваться по паре логин-пароль, а адресной строке отображать id пользователя?

HiAndy
На него ответ есть?
#11 6 апреля 2016 в 23:21

Много ли существует миграторов отдельных и слитных?

HiAndy
В чем проблема? Нужен — делайте! Не получается обращайтесь к тому кто сделает. Зачем требовать логины от разработчиков))

Еще раз спрошу: как сможет зайти пользователь под своим аккаунтом после миграции, если его имейл давно стерся благодаря глюкам движка?

HiAndy

Имейла у них нет не по их вине. Он просто утрачен из базы сайта благодаря нюансам старых версий.

HiAndy
При религиозных хотелках держателей сайта и отсутствии email'ов пользователей, я бы на их месте объявил на сайте что "всем пользователям необходимо указать адрес своей электронной почты в связи с обновлением движка сайта. Кто этого не сделает их аккаунт будет утерян. Спасибо за понимание. приносим извинения за неудобства." (Текст примерный, смысл думаю понятен).Далее нужно подождать минимум несколько месяцев, а лучше пол года, потому как пользователи существа неповоротливые))
Еще кстати нужно заметить что при переходе форум потеряется! И возможно другие плюшки которые были в первой ветке и нет из коробки во второй. Это, я понимаю, не заботит так как логины)))

Неужели нельзя авторизоваться по паре логин-пароль, а адресной строке отображать id пользователя?

HiAndy
Можно! Вопрос безопасности в этом случае решается. В текущем виде в двойке id и отображается, но уже не раз были темы в которых ТС хотели заменить id на логины. Далее читаем второй пост этой темы 😉

P.S. C WebMan мы уже вели дискуссию по применению логинов в системе. Его основной довод — максимальная возможность отличить 2-х пользователей друг от друга. Я же придерживаюсь минимализма — в системе уже есть никнеймы, зачем еще добавлять логины?
P.P.S. Решение WebMan вполне подходит для перевода сайтов с первой ветки на вторую? Т.е. можно использовать стороннее дополнение и не пилить движок на добавление логинов из коробки!
#12 7 апреля 2016 в 02:52

Решение WebMan вполне подходит для перевода сайтов с первой ветки на вторую?

Val
Подходит как оооочень временное решение вопроса логинов для самых-самых нетерпеливых. И только для тех из них, кто сам готов потом осознанно править код. Так как сейчас я меняю в нём некоторые моменты, чтобы итоговое решение стало более полноценным и его можно было встроить в "коробку". Так что я рекомендую всё-таки подождать. Да и вообще, переносить работающий сайт с первой ветки на вторую я бы сейчас без особых причин не стал. Я ещё с универа помню главное правило инженера: "Работает? Не трогай!" 😊

P.S. К сожалению, свободного времени у меня сейчас не очень много, поэтому логины делаю медленно. 😥

P.P.S. Если рассуждать логически, то логины (простите за тавтологию) в том или ином виде всё равно в Двойке будут. Так как нужно будет обеспечить полноценную миграцию с первой ветки, где они есть. И скорее всего, их использование в адресах и в других моментах будет опциональным.
#13 7 апреля 2016 в 07:13


Забавно)) в двойке народ наоборот хочет добавить логин!

Val
Туда можно ставить любой ник, не обязательно логин
#14 7 апреля 2016 в 10:07

Туда можно ставить любой ник, не обязательно логин

Андрей
в принципе да, но ники могут периодически меняться пользователями, хотя в целом это решаемая проблема. Также ники могут быть из нескольких слов, но тоже решается)) А если одинаковые никнеймы?
Но зачем такие "сложности" если проще использовать id!
Вы не можете отвечать в этой теме.
Войдите или зарегистрируйтесь, чтобы писать на форуме.
Используя этот сайт, вы соглашаетесь с тем, что мы используем файлы cookie.