email-validation - 電子メール検証URLの単純なMD5ユーザー名：安全ですか？

Question

検証のためにデータベース全体を作成したり、現在のユーザーテーブルの無駄なテーブルでオーバーヘッドを無駄にしたりすることを回避できます。

私が知る限り、それは安全でクリーンな解決策になるでしょう。しかし、私はこれらすべてに非常に慣れていないので、私の質問はばかげて陳腐なものでさえあるかもしれませんが、かなり大きなエラーを犯す前に、まず専門家に尋ねるのが安全だと思いました。

URLは次のようになります：www.example.ex/validate/username/md5username

だから私の質問はこれです：これは良い考えですか？私もそれを塩漬けにする必要がありますか？

Answer 1

純粋なmd5-hashの場合、これは悪い考えです。ユーザーがこのスキームを見るとすぐに、有効なメールアドレスがなくても新しいアカウントを検証できます。

少なくとも、md5-hashにはある種のソルトが必要です。すべてのユーザーにとって新しいソルトが望ましいです。そうでなければ、隠すことによるセキュリティになります。