避免在某种电子邮件确认超链接中操纵用户ID
本文关键字：超链接 操纵 用户 ID 确认 电子邮件 | 更新日期: 2023-09-27 18:25:10
这是我的用例：
我们的最终客户向我们的应用程序发送查询。
该应用程序正在搜索合适的第三方公司，通过收到一封带有"是/否"链接的电子邮件为最终客户进行查询，我们希望为最终客户完成这项工作。
现在，我必须使用UserId来保护是/否反馈HttpGet端点。
但到目前为止，我们的系统中还没有身份验证或用户。只是一个具有数据库id的客户实体。
但我不能将数据库代理密钥附加到电子邮件中的超链接，因为他们可以用另一个id替换该id。。。并点击"是"按钮，这将对与该id相关的一家第三方公司造成损害。
然后我想到了一个Guid。但实际上我不想交换
the integer unique identifier
带有
the Guid
我不想分发数据库模式中的任何内容。
在我的情况下，什么更合适？
我还想提到，这是没有电子邮件/帐户确认链接的情况。
只需使用您喜欢的加密品牌（例如AES）对代理密钥进行加密。然后在用户单击链接时解密密钥，您应该避免将任何内容传递给用户，因为您只在自己这边进行加密/解密。