セキュリティ的にふさわしい会員登録と承認の仕組みは

質問

ＬＡＭＰでくんでるのですが、会員登録と承認の仕組みはどうするのがセキュリティ的にもっともまともでしょうか？

流れをお教えください。よろしくお願い申し上げます

フォームに他人のメールをいれて、他人がメール内のＵＲＬをクリックしたら。どうしようもないですか？

なお、ＳＳＬが使える場合と使えない場合で違いましたら、両方お教えください。

回答No.1

yambejp · ベストアンサー

>会員登録と承認の仕組みはどうするのがセキュリティ的にもっともまともでしょうか？

効率化によってセキュリティをどこまで犠牲にするか次第ですね

本当にきっちりやるなら、申請用紙に記載の上、実印をおさせ、印鑑証明を添付したうえで
登録を親書にて受け付けます。登録データは表示が透けないような封筒を使い
着荷確認ができるような便でユーザーに返送します。

逆にザルでよいなら、空メールをおくらせ、それに登録情報をのせて返信して登録完了です。

実務レベルで常識的な線でいくならこんな感じでしょうか？

(1)メールで登録のパターン
・空メールを送らせる
・期限のあるセッション情報を載せたパラメータ付きのURLを返送
・URLにアクセスし、パスワードなど設定することで登録完了

(2)WEBでやる場合
・セキュアな環境でユーザー情報を登録させる
・メールで登録完了を返信する

＞フォームに他人のメールをいれて、他人がメール内のＵＲＬをクリックしたら

フォームのメールを間違えないためには空メール方式にするか、
メールアドレスを２回以上手書きさせて誤入力のリスクを減らすのが一般的です

補足

ありがとうございます。
環境上空メールの方式はつかえないので。。。

＝＝＝
・セキュアな環境でユーザー情報を登録させる
・メールで登録完了を返信する
＝＝＝

ですが、登録画面で入力したあと。DBにユニークな値をいれて、
メール上ではそのユニークな値を含むURLをクリックさせるとはまったく別でしょうか？

よくそういうシステムを見かけるので。その場合は、DBにユニークな値をmd5とかで暗号化させた文字列をURLにくっつけるべきでしょうか？

よろしくお願い申し上げます。