email confirmation d'inscription et envois de mot de passe en clair

[Sephi-Chan]

Au pire tu met un champ "login" dans le profil et si le joueur préfère un login il remplira ce champ.

Certains sites proposent un champ où tu peux renseigner ton nom d'utilisateur ou ton email. Et le système devine si tu tapes l'un ou l'autre. Ça implique bien sûr de s'assurer qu'un nom d'utilisateur ne peut pas avoir une tronche d'adresse email.

Je trouve que c'est une bonne solution : chacun fait ce qui lui plaît.

Perso le mail ça me gêne pas trop, mais pour les sites tel que facebook, google, et autres du genre les sessions peuvent restés (tant que tu effaces pas tes cookies et compagnie) mais sur d'autres sites c'est pas le cas donc la re-rentrer à chaque fois c'est un peu plus pénible que 5 lettres pour un pseudo .

Ça c'est pour les sites mal faits.

Facebook a une très bonne approche à ce sujet. Quand tu ne demandes pas à rester connecté, la connexion expire au bout d'une certaine durée mais le formulaire de connexion renseigne le champ email (stocké dans un cookie permanent). Quand tu te déconnectes explicitement, ce cookie est supprimé.

Les gens habitués à utiliser des ordinateurs publics sont sensibilisés à ces problématiques, donc tu peux sans problème utiliser ce genre de mécanismes.

De mon côté, j'opte le plus souvent pour un cookie permanent et signé. Et je n'utilise jamais de sessions, seulement des cookies.

Je n'utilise pas non plus l'ID de l'utilisateur mais un persistence token une chaîne aléatoire et unique propre à chaque utilisateur. Ainsi, si je veux forcer la déconnexion d'un utilisateur, je change simplement sa colonne persistence_token, comme ça son cookie ne correspond plus à rien et il est n'est plus connecté.