关于NLay身份验证方式的意见征求

技术 | Technology
1

如题，目前我们有多种方式完成对一个NodeLoc帐号所有权的验证，各有特点，各位选择下一步怎么弄。

### 私信验证码/链接

#### 优点：

  • - 打开就能看，不用主动操作，相对方便
  • - 操作门槛低，全设备通用

    • #### 缺点：

  • - 安全性低，任何其他使用remeber token登陆的应用都可以轻松获取验证码
  • - 滥用风险，可能被用于骚扰轰炸
  • - ~~API不好抓包，实现困难~~

    • ### 修改个性签名/小尾巴（个人比较支持）

    #### 优点：

  • - 技术成熟，可靠性高（已经在基于洛谷的帐号控制权验证中广泛使用）
  • - 安全性较高，可以会话绑定
  • - ~~API好找，实现简单~~

    • #### 缺点：

  • - 修改签名操作流程可能较多
  • - 移动端适配程度一般，不好粘贴
    • 2

    NLay 又是什么？

    3

    上谷歌验证器

    4

    我想了半天不会是钱包吧？不能用 OAuth 对接吗？我看论坛有这个模块。

    5

    @“dfjk”#p258304 正解，可以绑定NodeLoc帐号、Web3并拥有余额的钱包

    https://www.nodeloc.com/d/22169

    >

    @“dfjk”#p258304 OAuth 对接

    这个我没有权限申请，再者NLPay始终坚持对NodeLoc平台本体的最小依赖，而且OAuth很多操作受限，不适合我们的实际情况。
    另外我也不会尝试存储用户的密码，用remember Token登录。

    @"右肩有点痛"#p258300
    现在是在考虑登录身份验证，2fa（只有进入sudo模式执行敏感操作时需要）会支持谷歌身份验证、passkey(webauthn)或者验证一种支付方式的。
    当然这方面有意见也可以随时提哦

    6

    不建议强制开启，自己选择是否开启

    7

    @“羽”#p258406

    这个倒确实没法选择是否开启，我说过我不打算存储密码，所以你必须用论坛的账号登录好吧（）

    当然，如果你注册了之后不激活甚至解绑nl论坛账号，全都用余额支付也是可以的哦

    8

    @“defaultuser6”#p258472 老实说，没太看懂。这个是登录时的验证还是咋的？

    论坛登录验证我觉得不宜搞得太复杂。

    9

    @“羽”#p258512 这是登录验证，授权付款用其他方式，当然我仍然不会处理密码（有更可靠的办法）

    10

    有这精力就弄点有意义的东西吧

    11

    @“h2o”#p258851 （？

    12

    @“defaultuser6”#p258290 首选个性签名/小尾巴，如果有人用不了发证明再用私信验证码/链接

    13

    @“14569”#p258911 emm这个实现难度相当大（

    我记得就算不是会员也可以改小尾巴（？

    另外使用</s>nlpay-login-challenge-xxxxxxx<e>的形式能否有效防止用户被骗（？

    14

    @“defaultuser6”#p258308 “始终坚持对NodeLoc平台本体的最小依赖”

    。。但你这个工具不本身就是与 NL 有关吗

    15

    @“0x24a”#p259803 准确地说是在nl本身不做改变的情况下实现（？

    表述不准确，我的锅

    16

    >

    @“defaultuser6”#p258290 修改个性签名/小尾巴（个人比较支持）

    这个已经实现完了，晚一点会发布阶段测试，敬请期待。
    看我签名（bs）