用户通过Facebook或Google登录时处理帐户安全性

Question

所以我认为我遇到了一个安全问题，不确定如何处理。

我允许我的用户更改他们在我的网站上注册的电子邮件和密码。 对于这两个操作，他们应该输入当前密码（并使用令牌确认电子邮件）。 一切都很好，但是当用户完成社交登录后，他将没有密码可以输入。

我的第一个想法是，当用户没有注册密码时，仅跳过输入密码的字段，但是再三考虑，这可能是一个安全问题（他将该密码留在某个地方，其他人可能会轻易劫持该帐户）

那么，什么是解决此问题的好方法？

Answer 1

如果要在用户没有密码输入时防止电子邮件地址更改，可以向用户发送他们必须单击以授权其电子邮件地址更改的电子邮件。

仅当他们还没有登录电子邮件帐户时，这才起作用。

流程为：

1. 导航以更改电子邮件页面。
2. 单击按钮以授权更改电子邮件地址-这会将电子邮件发送到用户现有的电子邮件帐户，其中包含64位令牌，该令牌由加密安全的伪随机数生成器随机生成。
3. 用户打开他们的电子邮件帐户，然后单击链接。
4. 如果令牌有效，则链接后面的页面允许更改其电子邮件地址。
5. 如果在6个小时内未使用令牌，令牌将过期。

将SHA-256散列的令牌存储在数据库中，以防止任何数据泄漏使攻击者通过使用原始值构建电子邮件重置链接来更改其他用户的电子邮件地址。

Answer 2

我们在网上商店中使用Google，PayPal和Facebook登录作为授权。 我们对此进行了处理，即只有在用户直接在我们的商店软件上注册（使用电子邮件验证）并且只有输入正确的密码后，用户才能更改其电子邮件地址（=帐户用户名） 。

当用户通过开放式身份验证服务（如facebook）注册后，如果他将其开放式身份验证帐户转换为真实帐户 ，则只能更改其电子邮件地址（=帐户用户名） 。 为此，他必须首先通过开放式身份验证登录，然后他必须输入有效的电子邮件地址和发送到旧电子邮件地址 （由开放式身份验证服务提供）的安全令牌，以验证他是该地址的合法所有者。 之后，他必须选择常规密码才能登录。

Answer 3

在某处（例如，数据库列）保留一个标志，以确定用户是否通过“社交登录名”注册。 如果已设置，则用户可以更改其密码。 如果不是这样，他首先不会输入密码。