всем доброго!
по кейсу при регистрации чел сначала вводит свои персональные данные и потом логин пароль вот только эти две моменты в разных окнах происходит, при этом для перехода второе окно введенные данные записываются в БД + не только то что ввел но и собираются из разных источников (ну это не суть), и потом отправляется смс код для подтверждение номера телефона (в этом случае статус пользователя будет РЕГИСТРАЦИЯ_НЕ_ЗАВЕРШЕНА) и после этого осуществляется переход на окно ввода логина пароля...
собственно вопрос когда из второго окна отправляем логин пароль как определить к какому пользователю принадлежит этот логин пароль?

З.Ы. да можно в сторедже браузера хранить предыдущие введенные данные пользователя и отправить все, но никому не секрет этих данных можно изменить при отправке тогда...

вадя,

веб

почему то думал при удачной завершении первой страницы клиенту отправить некий токен (где время жизни скажем 3 минуты) чтоб тот в хидере отправлял с логином и паролем и по токену нашел кому это принадлежит...

ну изначально так утвердили
первое окно:
номер персональной карты
номер телефона
эмейл

далее в бэке сбор данных и отправка смс с кодом для верификации введенного номера

первой же окне ввод номера и кнопка далее (для перехода но второе окно)

во второй окне
полученные данные из сервера по персональной карте (это для информации типа все верно или нет чел может посмотреть) и ввод логина и пароли
после кнопка завершение регистрации

и в бэке уже имеющемуся юзеру логин и пароль + изменение статуса на РЕГИСТРИРОВАН

все верно но тут как видите данные отправляются порционно, юзер создается юзер обновляется...

не совсем
первом окне



только при завершении этапа регистрации




ну если захочет то когда зайдет в систему может менять пароль но сейчас речь не об этом.

в том то и дело чтоб избежать от дыр, обратился в форум.

PetroNotC Sharp,

со всеми этими утверждениями я согласен, но по ТЗ так должно быть.

PetroNotC Sharp,

в смысле, то кому принадлежит тот или иной логин/пароль? или то то другое подразумевается?

вадя, возможно, я об этом говорил пока тишина

PetroNotC Sharp,

как я понимаю, после верификации телефона, в браузер отправится номер_карты, а браузер откроет второе окно, далее логин/пароль + номер_карты отправляет в бэк тот уже по номеру карты идентифицирует кому принадлежит логин/пароль


З.Ы. понимаю это дыра, типа можно при отправке логина/пароля + (можно другой номер_карты) и тогда получится у кого та логин/пароль меняется...


вот изза этой возможной дыры писал сюда

PetroNotC Sharp,

так вышеперечисленные метода актуальны после авторизации как я понимаю правильно?

когда залогинился все через jwt идет но тут до этого же

вадя, да это так, если руководство согласится на это

PetroNotC Sharp, так получается вне основной спринг секьюр жвт должен ещё какой то механизм создать? то то говорил ранее? 22359467

PetroNotC Sharp,

я пока вижу такой кейс,
сгенерировать некий токен где премя жизни 3 минуты записать в базу для этого пользователя и передать из второй окна логин+пароль+токен, проверка на бэк будет время жизни + статус пользователя если тру то обновление данных пользователя

а средствами самого спринга пока хз

а на счет библиотек толи искал не там где надо толи реально таких кейсов совсем мало ) в основном там при регистрации все в одном флаконе идет

уважаемые, проект не корпоративный, получается логин/пароль придумывает сам юзер. скажем когда Вы зарегались в гугле там же логин/пароль сами придумали и если есть такой логин гугл предлагает свои варианты и то не факт что чел выбирает что то из этих...
на основе номера карты из удаленных сервисов собираются персональные данные человека...
смс с кодом это только удостовериться что указанный номер как бы принадлежит этому челу чтоб дальнейшем на этот номер отправить смски
а на счет готовых либ пока не нашел, если есть наводки был бы рад...

а так как минимум остается вариант созданием некого токена и хранение у юзверя который будет действителен в течении 3х минут или же в течении сутки (вдруг у чела выключился свет) чтоб мог продолжит при таких случаях

но все же буду надеяться что скажут сделать одним запросом, т.е. не на двух окнах...


или если есть другой вариант без хранение в бд, тоже хотел бы услышит или же наводку на либы