security - 从电子邮件自动登录用户是个坏主意吗？

Question

对于我们开发的许多网站，我们会验证用户的电子邮件地址。通常工作流程是这样的:

用户注册站点(发送激活邮件并附上激活链接)

用户验证电子邮件地址(通过单击上述链接)

用户必须登录站点才能使用它(假设他们尚未登录)

客户经常提示这个过程笨拙而且有些困惑，我同意。建议的解决方案是删除第 3 步，并在第 2 步之后自动登录用户。

我不确定这是否重要(因此是问题!)，但我一直对像这样自动登录用户持谨慎态度。在实现建议的解决方案之前，我应该考虑哪些额外的安全风险？

这也适用于密码重置等情况，在这种情况下，用户可能会自动登录然后更改其密码。

对于这个问题，让我们假设验证电子邮件是一项硬性要求。我知道在某些情况下这不是必需的，但让我们谈谈它在哪里。

Answer 1

我会确保电子邮件中链接的有效性有时间限制，并使其仅对一次点击有效。