Comment limiter l'action de l'utilisateur à partir d'un lien e-mail sans connexion?

Question

Dans le cadre de mon application, les utilisateurs ont la possibilité d'approuver certaines "demandes" via e-mail. Les demandes ont leur propre modèle et possèdent donc un identifiant unique.

Les utilisateurs reçoivent un e-mail avec une route nommée dans un lien : 'approuver/:id' où :id est l'identifiant de la demande. La méthode d'approbation gère ensuite la logique d'approbation, etc.

Comment puis-je empêcher un utilisateur d'approuver des demandes faites à d'autres utilisateurs sans que l'utilisateur ne se connecte au préalable? Étant donné que les identifiants sont librement affichés dans l'URL, je suppose qu'un GUID serait nécessaire, non?

Answer 1

Si vous voulez vraiment le faire, alors oui, vous auriez besoin d'un GUID de quelque sorte. Peut-être un hachage cryptographique de l'user_id ou de l'adresse email(?), donc vous finissez par utiliser /approve/:id/:GUID.

Je suis surpris que vous ne vouliez pas que l'utilisateur se connecte cependant, n'oubliez pas que s'ils se connectent, vous pouvez les rediriger automatiquement vers l'approbation. De plus, si le cookie est toujours valide, un utilisateur pourrait déjà être connecté.