重置密码时显示DEVISE身份验证密钥（电子邮件地址）

Question

我认为这很简单，我想在密码重置期间显示身份验证密钥。

首先，这样做有什么问题吗？ 我要开一些洞吗？ 我控制何时创建用户并发送signup_instructions。 我只有大约500个用户。 在我的系统中，很多情况下每年只使用几次，而在小公司中只有一两个员工，平均只有10个员工。 我们服务的某些公司而不是为员工创建多个帐户，而是共享一个或多个帐户，即我为公司中的特定人员创建一个帐户，然后他们与助手共享密码。 我使用电子邮件地址作为身份验证密钥。

你能猜出接下来会发生什么吗？ 这真的发生了！ 用户正在休假，年轻的助手需要登录，忘记密码，但是足够聪明，可以单击忘记的密码并重设密码，她在老板走后读老板的电子邮件。 老板从休假回来，需要登录，虽然不能，但是不够聪明，无法单击忘记的密码，也不想打扰她走了时收到的电子邮件。 因此，她惊慌失措，生气地问：“怎么了，我无法登录！！！”。 我的许多用户都是这样的，较老，不是真正的计算机专家。

因此，我需要采取其他措施来愚蠢地证明重置密码，我想应该包括显示要重置的电子邮件地址的突出显示，以及提醒任何“共享”帐户的人以告知其同事的措辞他们重置。

我在我的设计/密码/编辑中尝试过

<%= resource.email %>

上面的代码没有任何结果！

Answer 1

您永远不要公开身份验证数据。 这就是为什么您从不使用GET而是通过POST发送它们的原因。 做一些研究：gmail如何重置密码？ 要记住的另一件事是，一旦您做了所有合理的事情，用户就有责任保护自己的个人信息。 如果秘书对老板一无所知，那就太糟糕了-除非他们希望您使用生物识别技术来重置密码。