search

op-ent / api

https://github.com/op-ent/op-ent/tree/main/apps/api
GNU General Public License v3.0
5 stars 1 forks source link

Feature/password reset (close #5) #18

Closed florian-lefebvre closed 1 year ago

gitguardian[bot] commented 1 year ago

️✅ There are no secrets present in this pull request anymore.

If these secrets were true positive and are still valid, we highly recommend you to revoke them. Once a secret has been leaked into a git repository, you should consider it compromised, even if it was deleted immediately. Find here more information about risks.

🦉 GitGuardian detects secrets in your source code to help developers and security teams secure the modern development process. You are seeing this because you or someone else with access to this repository has authorized GitGuardian to scan your pull request.

Our GitHub checks need improvements? Share your feedbacks!

florian-lefebvre commented 1 year ago

Ne faites pas de review avant #23, j'ai créé cette branche à partir de celle de l'autre PR du coup c'est un peu le bordel dsl

florian-lefebvre commented 1 year ago

@MRakox c'est prêt pour la review !

florian-lefebvre commented 1 year ago

J'avais repris l'approche du auth token provider mais pourquoi pas. Dans ce cas qu'est-ce qu'on passe comme args ?

florian-lefebvre commented 1 year ago

@MRakox on peut check si une signature est valide (https://docs.adonisjs.com/guides/security/signed-urls#verifying-signature) mais comment on fait pour l'invalider ? Exemple concret :

  1. Je demande un password reset grâce à l'email
  2. Je reçois un email avec le lien et sa signature (expiration 60m)
  3. Je clique sur le lien pour reset, je reset bien tout

Dans la phase 3, il faut aussi invalider la signature pour empêcher de reset plusieurs fois avec le même lien

florian-lefebvre commented 1 year ago

J'ai bien réfléchi et je suis revenu à la 1ère méthode, si tu peux review @MRakox