ruby-on-rails - 用户帐户设计和安全

Question

开始之前，我使用 Ruby on Rails 和 Devise gem 进行用户身份验证。

您好，我正在做一些关于帐户安全的研究，不久前我发现了一篇关于该主题的博客文章，但我再也找不到了。我读到一些关于在制作登录系统时你应该有 1 个用户模型的内容，其中包含用户的用户名、加密密码和电子邮件。您还应该有一个用户帐户模型。这包含其他所有内容。用户有一个帐户。

我不知道我的解释是否正确，因为我已经好几个月没有看到这篇博文了，而且我的书签也不见了。

有人可以解释我应该或不应该这样做的方式和原因。我的应用程序涉及金钱，所以我需要用安全来覆盖我的基地。

谢谢。

Answer 1

使用不同的模型来处理用户(一种处理基本身份验证的模型)和帐户(一种包含关于用户可以做什么、如何的所有信息的模型， ...) 可以给你一些加分:

1. 使用具有更高安全级别的辅助存储系统存储用户数据
2. 限制其他应用程序构件(模型、 Controller 等)对用户数据的访问
3. 简化代码审查和安全审计

我倾向于在用户模型中添加个人信息(真实姓名、电话号码...)，同时在帐户模型中公开有关用户的操作数据(昵称、个人简介...)。