Практикуется ли создавать аккаунт только по e-mail+ пароль, без логина?

[girmate]

Как вы считаете, обязательно ли для открытия нового аккаунта запрашивать логин? Ведь можно использовать для логина адрес электронной почты + подтверждения этого адреса ну и пароль, разумеется. А уже обращаться к пользователю по данным, которые он самостоятельно заполнит в профиле, например.
Я много где видел такое, вот и думаю, а нужен ли логин? Какие преимущества дает логин, проясните, может я что-то не додумал? Ваше мнение?

[zelenin]

Как вы считаете, обязательно ли для открытия нового аккаунта запрашивать логин? Ведь можно использовать для логина адрес электронной почты

Я много где видел такое, вот и думаю, а нужен ли логин?

сам спросил, сам ответил.

[samdark]

К сожалению, да.

[girmate]

К сожалению, да.

Вот вы ответили, а я так и не понял. Могу ли я в качестве логина использовать только адрес электронной почты? Пользователь указывает в качестве логина почту и пароль. Плюс, если я буду делать авторизацию через соц сети, мне также не нужен будет логин? Ведь все привяжется user->id, насколько я понимаю.

[samdark]

Технически можете.

[girmate]

Технически можете.

Я понимаю, что технически могу. Но Вы говорите так, как-будто это нежелательно делать. В чем подвох, в двух словах, если можно.

[samdark]

Проще брутфорсить и известно, какой сервис ломать и кого фишить, чтобы заполучить ресет пароля.

[girmate]

Проще брутфорсить и известно, какой сервис ломать и кого фишить, чтобы заполучить ресет пароля.

Супер ответ! Спасибо, Александр! Я почувствовал, что подвох в чем-то есть, но в эту сторону даже не посмотрел. Буду знать. Но это актуально, если e-mail будет где-то светится вместо логина. Если на проекте он нигде не завсвечен, то, на мой взгляд, так можно делать. Но, видимо, не нужно.

Просто хотелось упростить регистрацию. Даже убрал в форме проверку пароля (второй раз вводить не нужно). При регистрации человека у меня будет кидать на подтверждение почты. Мне это нужно все равно. А если ввел неправильный пароль, или забыл, то уже по-любому восстановит через почту, ведь почта проверена.
Еще более простую регистрацию делают через соцсети, но я еще до туда не дошел - ведь на локальной машине это не проверишь, насколько я знаю.
И еще я не могу понять одного момента. Я узнал, что не все соцсети предоставляют почтовый адрес пользователя. И даже если предоставляют, то она проверена или нет? Просто получается, что если человека забанят в соцсети, то ко мне на страницу он уже никак не придет. А если не придет, то единственный шанс восстановить его аккаунт - через почту. А если он почту в соцсетях левую указал? Я понимаю, что косяки на его стороне, но, с другой стороны, мне его тоже терять не хочется. Значит даже при авторизации через соц сети нужно проверять еще и почтовый ящик. А это еще накладнее, чем регистрация напрямую. В общем, тут пока не понятно.

[samdark]

Через соцсети несколько безопасней. Там практически везде двухфакторка и попыток взлома соцсетей настолько много, что очевидные грабли уже собраны и поправлены. На локальной машине отлично проверяется. На тему адреса надо смотреть для каждой сети.

[mkramer]

Можно сделать, чтоб если почта не предоставлена соц. сетью, спросить её и попросить подтвердить.

samdark, по поводу локалки - интересно. Ведь для авторизации через главные соц. сети в них надо создать приложение, и указать домен. А мой домен на локалке для них не существует. Как проверить?

[samdark]

Существует. Соцсеть домен не валидирует. Он для редиректов при OAuth2 flow.