ASP.NET Identity GenerateEmailConfirmationTokenはどれくらい安全ですか？

Question

ASP.NET ID 2.0にはGenerateEmailConfirmationTokenが含まれており、パスワードの通知または電子メールタスクの確認用のトークンを生成するために使用できます。私は、ユーザーの暗号化されたSecurityStampを使用して作成したトークントークンがデータベースに格納されていないことを知っています。もう一度計算して検証されます。

私は電子メールの確認のために使用しています。私はトークンを確認した後にユーザーにログインしたい。これはRuby on Railsでこれまで使用してきた実用的なものです。しかし、私はこのアプローチの安全性についていくつかの留保をしています。

このトークンを確認するだけでユーザーにログインするのは安全ですか？ユーザーのメールが既に確認されている場合は、確認を拒否します。したがってこれは一度だけのことです。しかし、私はGenerateEmailConfirmationTokenAsyncのすべての内部作業を知らないので、私は確信していません。

Answer 1

トークンは、セキュリティを強化する単なる1つの方法です。ある程度しか安全ではないので、より多くの方法で認証し、承認するのが得意です。