ruby-on-rails - パスワードを一時的にセッション変数に保存してもよろしいですか?

Question

Deviseを使用してレールにマルチステップフォームを実装しようとしています。情報をセッション変数に保存して、あるステップから次のステップに永続化することを計画しています。私の質問は、パスワードをセッション変数にプレーンテキストで保存し、フォームで完了したらクリアしても大丈夫ですか?

Answer 1

私はセキュリティの専門家ではありませんが、私の直感では、これは良い解決策ではありません。

より良い解決策は次のとおりです。

ステップ 1 では、実際にユーザーを作成し、パスワードを通常どおりメールで保存します。

ステップ 2 以降で、データベース内のこのユーザーのレコードをさらに入力して更新します。何か満足できない場合は、最終的にこのユーザーを削除することもできます.

これは慣例に基づいており、ハックよりも優れています。