安全地将webapp用户的电子邮件视为密码重置后的隐式确认？

Question

在我的系统中，一个新用户必须确认他的电子邮件。

但是有一个边缘的例子：

• 他注册
• 不确认
• 忘记密码，执行密码重置(这涉及邮件循环)

那时，我知道他的电子邮件工作-所以我倾向于重置他的密码，然后简单地标记他的电子邮件为“确认”。

有什么风险我没有考虑过吗？

Answer 1

如果您对用户的电子邮件、数据库或这两种情况中的任何其他部分使用相同的通信协议，即注册点和“忘记密码”步骤，则不会增加任何风险。