如果使用Facebook進行身份驗證，則在USER表中存儲空白密碼

Question

我正在設計一個應用程序，該應用程序可以通過注冊表單或使用Facebook登錄來接受新用戶。

用戶注冊后，我將創建一個用戶記錄並將加密的密碼（哈希）存儲在USER表中。 如果用戶通過FB注冊，我仍然要創建用戶記錄。

但是我應該如何處理密碼列，因為我不會暴露給他們的FB密碼。 還是應該從USER表中分離出userid / login / password並將其保存在單獨的表中，並且FB用戶在此新表中將沒有記錄。

Answer 1

兩種方法都可以正常工作-您可能只想在用戶表中保留該用戶喜歡的身份驗證提供程序的記錄，並以此為指導來登錄它們。

將登錄詳細信息與用戶帳戶分開存儲是有優勢的，但是無論如何它們都將緊密地關聯在一起，並且在許多情況下，將登錄信息與用戶帳戶詳細信息存儲在一起不會有任何危害。 保留單獨的登錄記錄可以更輕松地記錄用戶何時登錄以及使用哪些憑據，並在他們嘗試將密碼更改為過去使用過的密碼時進行捕獲，依此類推，但是是否需要該級別的登錄權限審核應用程序完全取決於您。

只要您可以確保沒有任何途徑可以使他人嘗試使用標准登錄過程來強制系統登錄經過Facebook身份驗證的用戶，那么用戶表中的密碼本身就沒有任何風險。 。 指出用戶喜歡哪種登錄類型， 並確保針對空白密碼的任何登錄嘗試自動失敗都足以避免此問題。