Почему имена пользователей должны быть unchangable?

Если вы не позволите людям менять свои имена пользователей, то некоторые люди просто будут создавать новые учетные записи. Я не вижу в этом никакого риска для безопасности, и многие приложения, включая SO, позволяют менять имя. Если вы измените имя, сохраните userid (первичный ключ) прежним, чтобы все данные были связаны должным образом.

Единственная опасность, которую я вижу, это если вы можете изменить свое имя на уже существующую учетную запись, например 'admin'.

Это может быть плохо для безопасности, а может и не быть, но если идентификаторы пользователей основаны на именах пользователей, это может оказаться неудобным. Представьте, например, пользователя Джейн Смит (замужем за мистером Смитом), которая развелась и хочет вернуться к своему добрачному имени. Каждый раз, когда она входит в вашу систему, она напоминает ей о том, что было.

Теперь вы можете просто создать новую учетную запись и перенести любую конфигурацию на эту новую учетную запись. Или вы можете использовать что-то еще, кроме имени пользователя, так что идентификатор пользователя/логина может быть изменен, но он сопоставлен с каким-то неизменным другим идентификатором - например, порядковым номером или чем-то подобным.

Вам необходимо иметь какой-то неизменный ID - по крайней мере, для того, чтобы любой аудит, проводимый системой таргетинга, был полным. Создание нового пользователя (таким образом, предоставление нового ID пользователя) при смене имени нарушает цепочку аудита и требует от человека помнить, что "Ах да, в прошлом году ее звали Джейн Смит"...

Сохранение постоянного имени пользователя совершенно неважно, если вы делаете две вещи: имеете отдельный неизменяемый userid и правильно нормализуете свою базу данных. Первое важно, потому что это означает, что вы не используете имя пользователя в качестве ключа базы данных (или для каких-либо других разрешений или чего-то подобного, что позволяет избежать многих проблем, о которых говорили другие пользователи). Второе важно, потому что оно предотвращает мошеннические атаки, такие как Jason, потому что когда вы меняете имя пользователя, оно меняется во всех старых сообщениях и в любом другом месте, где оно отображается.

Я не вижу причин, почему имеет значение, есть ли у вас отдельное отображаемое имя или нет, имя пользователя все равно может быть изменено без каких-либо проблем с безопасностью. Скорее всего, вы захотите вести учет прошлых имен пользователей, чтобы, если кто-то напишет вам о потерянном/взломанном аккаунте, вы могли найти его, как упоминал jumpdart. Но, конечно, вы уже отслеживаете прошлые адреса электронной почты, связанные с аккаунтом, по той же причине, верно? :) Я предлагаю сделать их изменяемыми. Дополнительные усилия незначительны, и есть много законных применений.

Множество ответов. Вы, наверное, уже уладили это. Вот мои 2 цента:

Не позволяйте людям менять свои имена. Не для безопасности или чего-то еще, а потому, что это может плохо отражаться на вашем сайте. Люди знают пользователя как xxx, и они меняют на yyy, тогда их репутация также может исчезнуть. Злоумышленники будут просто изводить вашу систему постоянными изменениями.

Индексирование URL: если вы проиндексированы так - www.somewhere.com/user/awesomeGuy, тогда awesomeGuy меняет имя на stupidGuy, после чего вы теряете свои проиндексированные результаты и получаете ошибку 404 или что-то подобное, когда поисковые роботы Google сканируют сайт. Вы получите больше пользы, имея URL-адреса имен пользователей, чем позволяя людям изменять свои имена пользователей.В наши дни возможность изменить свое имя пользователя не является большой в списке "обязательных", когда люди регистрируются на сайте.

Время: Ваше время важнее, чем программирование подобных бесполезных функций.

Только мое мнение. Однако никаких угроз безопасности, если вы не очистите свой ввод.

Трудность возникает, если пользователям разрешено переходить на имена, которые использовались в прошлом. Если пользователи всегда идентифицируются с помощью некоторого идентификатора, который никогда не изменится и не будет использоваться повторно, может быть возможно безопасное и разумное использование имени пользователя с точки зрения пользовательского интерфейса, если все транзакции записывают как личность пользователя, выполняющего транзакцию, так и имя пользователя на момент выполнения транзакции. В этом случае, например, сообщение на доске объявлений может быть помечено как "By: SuperCat (как Mighty Kitty)". Supercat будет настоящим именем пользователя, а Mighty Kitty будет именем пользователя, которое он имел на момент написания сообщения.

Я бы сказал, что невозможность изменить имя - ПЛОХО для безопасности. Особенно, когда логин - это адрес электронной почты. Steam - прекрасный пример этого ... люди зарегистрировались 5 лет назад, когда учились в старшей школе, со своими (скрытыми) электронными письмами. Теперь они должны продолжать запоминать это электронное письмо, запоминать пароли Steam и электронной почты, гарантируя, что никто не получил доступ к электронной почте и т. Д., Даже если они не использовали учетную запись электронной почты в течение многих лет. По сути, это снижает вероятность того, что адрес электронной почты для входа в систему действительно проверяется, что делает электронные письма с забытым паролем и т. Д. Менее безопасными.

И вы не можете просто создать новую учетную запись, если к ней привязаны ценные предметы, такие как игры. Вы на всю жизнь застряли в своем имени.

Я не согласен с предпосылкой. Есть множество крупных сайтов, которые позволяют менять имя пользователя; eBay - один из первых, который приходит на ум.

Edit:

Теперь, когда я думаю об этом и читаю ответ Rook, я вспомнил о месте, где я работал, где вы не могли создать аккаунт с уже существующим именем пользователя, но вы всегда могли изменить его (позже, после регистрации) на уже существующее имя пользователя. К сожалению, в том месте разрешения основывались на имени пользователя... вы можете увидеть, где кроется проблема безопасности.