如何实现复用当前用户邮箱、仅验证密码的登录验证功能

核心逻辑 #

针对账号删除这类高风险操作，通过二次验证确认用户身份：无需用户重复输入邮箱，直接复用当前登录态中的用户邮箱，仅要求输入密码，后端验证邮箱与密码的匹配性及会话有效性，验证通过后方可执行账号删除操作。

前端实现要点 #

• 触发流程：用户点击「删除账号」按钮后，弹出专属验证弹窗/页面，仅展示密码输入框（建议搭配明文切换按钮提升体验）、确认和取消按钮。
• 获取登录邮箱：从本地存储（如localStorage/sessionStorage）或全局状态管理工具（如Redux、Pinia）中读取已登录用户的邮箱信息，无需用户手动输入。
• 前端校验：先做基础输入校验，比如密码长度是否符合系统要求、是否为空，减少无效后端请求。

后端验证逻辑 #

• 安全获取邮箱：不要依赖前端传递的邮箱信息，直接从当前用户会话（如Session、JWT解析）中提取邮箱，防止前端篡改邮箱导致误操作。
• 密码校验：查询数据库中该邮箱对应的用户记录，使用哈希算法（如bcrypt）对比用户输入的密码与存储的哈希值，禁止明文存储或校验密码。
• 会话有效性校验：额外验证当前请求的会话是否合法有效，确保是当前登录用户发起的验证请求，防范CSRF攻击。
• 结果返回：校验通过则返回允许执行删除操作的标识；失败则返回具体错误信息（如「密码错误」「会话已过期」）。

关键安全注意事项 #

• 密码传输全程使用HTTPS，避免明文泄露。
• 设置密码验证重试次数限制，防止暴力破解。
• 验证通过后，再次弹出不可逆操作确认提示（如「确定删除账号？此操作无法恢复」），降低误操作概率。
• 账号删除操作需记录操作日志，包括操作时间、用户IP等信息，便于后续审计。

内容的提问来源于stack exchange，提问作者ANIQ AQIM