关于用户名/密码与 secret URL 的安全问题

Question

我有一个带有注册表单的简单网站。目前，用户可以通过个人( secret )URL 使用注册时不可用的(非关键、“低安全性”)信息来补充他们的注册。

即，一旦他们点击提交，他们会收到如下消息:

Thanks for signing up. You can complement your registration by adding information through this personal URL:

      http://www.example.com/extra_info/cwm8iue2gi

现在，我的客户要求我扩展应用程序以允许用户 彻底改变他们的注册 ，包括更敏感的信息，例如帐单地址等。

我的问题: 使用 secret URL 而不是完整的用户名/密码系统是否存在任何安全问题？

我能想到的唯一问题是 URL 存储在浏览器历史记录中。不过，这并不让我担心。我错过了什么吗？

如果有人更改了其他一些用户的注册信息，这并不是世界末日。 (它只会涉及一些额外的体力劳动。)我不会详细介绍为此应用程序设置 https 的范围。

Answer 1

这种方法不适用于敏感信息，因为它是 HTTP 请求 URL 的一部分，未加密并显示在许多地方，例如代理和其他服务器日志。即使使用 HTTPS，您也无法加密这部分有效负载，因此这不是传递 token 的合适方式。

顺便说一句，此方案的另一个问题是，如果您通过电子邮件将 URL 发送给用户。这开辟了更多的攻击途径。

更好的方案需要一些电子邮件中没有的小 secret 。但决定该 secret 应该是什么可能具有挑战性。通常答案是:密码。