Récupérer les infos provenant d'un service de messagerie (gmail, yahoo, etc.)

Version imprimable

28/09/2014, 15h42
momjunior

Récupérer les infos provenant d'un service de messagerie (gmail, yahoo, etc.)

Bonjour

Je suis en train de créer une application J2EE. J'ai un formulaire qui permet à l'utilisateur de renseigner son nom, prénom, email .... Bref il lui permet de créer son compte. Après l'enregistrement dans la base de données, je voudrais envoyer un lien d'activation à l'utilisateur dans sa boite mail. Ce lien permettra de confirmer que l'adresse mail qu'il a renseignée existe bel et bien, et qu'elle lui appartient. Mon problème est le suivant:

1. Avant d'envoyer le lien, je voudrais enregistrer les données de l'utilisateur temporairement, c'est-à-dire que, à part les champs nom, prénom etc..., je voudrais créer un champ "statut_activation" qui prend une valeur "oui" ou "non". Lorsque l'utilisateur clique sur "enregistrer", la valeur du champ "statut_activation" sera "non" par défaut. Donc ça veut dire que le compte n'est pas activé. Après avoir reçu le mail , lorsqu'il aura cliqué sur le lien d'activation, je vais mettre à jour la valeur du champ "statut_activation" qui sera "oui". Dans ce cas le compte est activé.
J'aimerais donc savoir si le principe est bon.

2. Lorsque l'utilisateur aura cliqué sur le lien d'activation, comment je fais pour le reconnaitre puisque les infos proviendront d'un service de messagerie comme gmail ou yahoo, et non d'une page jsp de mon application, c'est-à-dire comment faire un request.getParameter pour récupérer les infos provenant de gmail ou de yahoo par exemple.

Merci

Bonsoir,

1. Le principe me semble bon, "statut_activation" pourrait être un boolean.

2. Dans le lien (ou le bouton) envoyé par mail, tu pourrais mettre l'url-pattern d'une servlet de ton application et quelques paramètres qui permettront d'identifier l'utilisateur qui vient de valider son inscription.

web.xml

Code:

1
2
3
4
5
6
7
8
<servlet>
        <servlet-name>ConfirmRegistration</servlet-name>
        <servlet-class>be.mon.paquetage.servlets.ConfirmRegistration</servlet-class>
    </servlet>
    <servlet-mapping>
        <servlet-name>ConfirmRegistration</servlet-name>
        <url-pattern>/validateRegister.do</url-pattern>
    </servlet-mapping>

MailService.java

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
public class MailService {
    ...
    private static final String VALIDATION_ADDRESS = "http://localhost:8080/nom_application/validateRegister.do?";
    private static final String emailConfirmInscriptionBody = "Veuilez cliquer sur ce bouton pour confirmer votre inscription ";
    ...
    public void sendInscriptionConfirmation(Personne newUser) throws MessagingException{
        try {
        ...
        String emailBody = emailConfirmInscriptionBody.concat("<a href=" + VALIDATION_ADDRESS 
                    + "email=" + newUser.getEmail()
                    + "&validationKey=" + newUser.getValidationKey() // ça peut être tout ce que tu veux SAUF le mot de passe en clair
                    + "><button>Activez votre inscription</button></a>"); // le bouton est moche, suis d'accord :D
        ...
        } catch (MessagingException mex) {
            mex.printStackTrace();
        }
    }
}

Merci pour ta réponse, je suis sur la bonne voie.

Juste une question concernant la clé d'activation: son contenu pourrait-il être par exemple une combinaison du ID et de l'email de l'utilisateur, que je vais ensuite chiffrer? c'est-à-dire faire:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
String validationKey = newUser.getId()+newUser.getEmail();
 
ConfigurablePasswordEncryptor passwordEncryptor = new    ConfigurablePasswordEncryptor();
    passwordEncryptor.setAlgorithm( ALGO_CHIFFREMENT );
    passwordEncryptor.setPlainDigest( false );
    String validationKeyChiffre = passwordEncryptor.encryptPassword(validationKey);
 
try {
        ...
        String emailBody = emailConfirmInscriptionBody.concat("<a href=" + VALIDATION_ADDRESS 
                    + "email=" + newUser.getEmail()
                    + "&validationKey=" + validationKeyChiffre  // ça peut être tout ce que tu veux SAUF le mot de passe en clair
                    + "><button>Activez votre inscription</button></a>"); // le bouton est moche, suis d'accord :D
        ...
        }

01/10/2014, 14h54
Mishulyna

Bonjour,

Oui, ça pourrait être une donnée (ou combinaison de données) cryptée(s), capable(s) à identifier l'utilisateur de façon unique.

Je dirais qu'il vaudrait mieux de faire le cryptage dans le contrôleur de la classe Utilisateur et sauvegarder la valeur dans la base de données pour vérification lors de la validation de l'inscription. Une fois la validation réussie, effacer la clé de validation de la base de données (histoire d'éviter les collisions), car elle ne doit servir qu'une seule fois.
01/10/2014, 15h07
OButterlin

Le plus simple serait d'utiliser une clé primaire incrémentale, elle ne signifie rien, ne donne aucune information à quiconque tomberait dessus.

Pour le reste, la suggestion de Mishulyna utilisant un lien vers une servlet est bonne et simple à mettre en œuvre mais elle suppose que ton serveur est accessible depuis internet (DMZ). S'il s'agit d'un réseau d'entreprise, ça ne fonctionnera pas.

Sinon, tu as la possibilité de répondre à une adresse de messagerie et d'analyser la réponse via l'api mail de java... Là, plus de soucis d'accessibilité ;)
01/10/2014, 16h07
Mishulyna

Bonjour OButterlin,

Citation:

Envoyé par OButterlin

Le plus simple serait d'utiliser une clé primaire incrémentale, elle ne signifie rien, ne donne aucune information à quiconque tomberait dessus.

Vous voulez dire comme un numéro de client ? Est-ce possible d'avoir deux clés primaires incrémentales sur une table (la première étant l'Id) ?

Citation:

Envoyé par OButterlin

S'il s'agit d'un réseau d'entreprise, ça ne fonctionnera pas.

Est-ce possible que quelqu'un de l'extérieur se crée tout seul un compte sur une application qui tourne sur un serveur d'entreprise, avec une adresse mail autre que celle "interne" à l'entreprise ?

Désolée pour ces questions bêtes...:oops:
01/10/2014, 16h08
momjunior

J'ai finalement décidé d'utiliser la Class UUID car il parait qu'elle génère un ID unique.

Donc je fais:

Code:

UUID validationKey= UUID.randomUUID();

Et je sauvegarde cette clé temporairement dans la table Utilisateur comme tu m'as dit.

Est ce que tu me conseilles l'usage de la Class UUID ?
01/10/2014, 16h27
OButterlin
Ce que j'avais à l'esprit était une colonne de ce type, inutile de créer autre chose
Code:

1 2 3 4 5 6 create table maTable ( uid Integer NOT NULL as identity, ... primary key (uid) );
Un nombre aléatoire à une probabilité non nulle de ressortir, ce serait dommage que 2 clients aient malencontreusement eu le même numéro pour répondre...

Pour l'autre question, concernant l'envoi d'un mail de l'extérieur vers une boite mail d'entreprise, ça dépend de la protection de cette dernière.
Dans certains cas, les entreprises "verrouillent" l'accès à la boite mail, ou du moins, compliquent leur accès... ça peut être un problème...
Ceci dit, c'est un peu couillon de verrouiller une adresse mail quand on demande une réponse.
01/10/2014, 16h40
Mishulyna

En survolant la javadoc, c'est le constructeur qui me met en difficulté :

Citation:

UUID(long mostSigBits, long leastSigBits)
Constructs a new UUID using the specified data.

:calim2:

C'est peut-être que j'aime trop avoir le contrôle, j'utiliserais plutôt la solution proposée par OButterlin, un identifiant unique sans rapport avec l'id de l'utilisateur.
01/10/2014, 17h48
Mishulyna

Merci de votre réponse OButterlin !

Citation:

Envoyé par OButterlin

Un nombre aléatoire à une probabilité non nulle de ressortir, ce serait dommage que 2 clients aient malencontreusement eu le même numéro pour répondre...

Ce serait le comble du malheur qu'ils aient la même adresse mail... ;)

En fait j'ai utilisé le cryptage SHA-1 du mot de passe par le passé, je devrais bien sûr passer à SHA-256 mais si de toutes façons je sauvegarde un "salt" securerandom par utilisateur dans la base de données : ça vaut la peine de s'en servir, n'est-ce pas ? Autant crypter autre chose que le mot de passe avec le "salt" en question, pour le même utilisateur, et de vérifier la validité de telle ou telle donnée en appliquant le même "salt".

Citation:

Envoyé par OButterlin

Pour l'autre question, concernant l'envoi d'un mail de l'extérieur vers une boite mail d'entreprise, ça dépend de la protection de cette dernière.
Dans certains cas, les entreprises "verrouillent" l'accès à la boite mail, ou du moins, compliquent leur accès... ça peut être un problème...
Ceci dit, c'est un peu couillon de verrouiller une adresse mail quand on demande une réponse.

Pfff... Je vais effacer de mon CV la partie "connaissance du monde de l'entreprise" : ça a l'air moche, effectivement :(
01/10/2014, 19h28
momjunior

Citation:

Envoyé par OButterlin

Un nombre aléatoire à une probabilité non nulle de ressortir, ce serait dommage que 2 clients aient malencontreusement eu le même numéro pour répondre...
.

Normallement la clé de validation n'est pas très importante puisque dans ma BD j'ai défini l'adresse mail comme "Unique" donc 2 utilisateurs ne peuvent pas avoir la meme adresse email. Donc en y repensant, je me dis que je peux juste insérer l'adresse mail de l'utilisateur dans le mail à envoyer. A la récupération je vérifie si cette adresse existe dans ma base. Si oui j'active le compte. C'est plus simple non?

A moins que 2 utilisateurs puissent avoir la même adresse gmail ou yahoo par exemple. C'est possible ça 8O
01/10/2014, 21h17
Mishulyna

Citation:

Envoyé par momjunior

A moins que 2 utilisateurs puissent avoir la même adresse gmail ou yahoo par exemple. C'est possible ça 8O

Non, jamais. :)
02/10/2014, 09h45
OButterlin

Citation:

Envoyé par momjunior

Normallement la clé de validation n'est pas très importante puisque dans ma BD j'ai défini l'adresse mail comme "Unique" donc 2 utilisateurs ne peuvent pas avoir la meme adresse email. Donc en y repensant, je me dis que je peux juste insérer l'adresse mail de l'utilisateur dans le mail à envoyer. A la récupération je vérifie si cette adresse existe dans ma base. Si oui j'active le compte. C'est plus simple non?

A moins que 2 utilisateurs puissent avoir la même adresse gmail ou yahoo par exemple. C'est possible ça 8O

Je partage l'avis de Mishulyna, à ma connaissance, ce n'est pas possible

Sur le fond, tu exposes une donnée confidentielle en envoyant une adresse mail... dans le cas où tu enverrais le message par accident à une autre adresse mail... mais bon, dans ce cas, tu permettrais à un autre de valider le compte d'un autre... c'est guère mieux, et c'est vrai avec l'ID unique aussi :aie:
Ce que tu peux faire par contre, c'est récupérer du mail de réponse l'adresse mail de l'expéditeur et l'utiliser pour valider. Si c'est une erreur d'acheminement, il n'existera pas d'enregistrement en attante de validation dans ta base ;)
02/10/2014, 10h45
OButterlin

Citation:

Envoyé par Mishulyna

Ce serait le comble du malheur qu'ils aient la même adresse mail... ;)

J'avais cru comprendre qu'il n'envoyait que ce numéro, pas le couple numéro aléatoire / adresse mail

Citation:

Envoyé par Mishulyna

Pfff... Je vais effacer de mon CV la partie "connaissance du monde de l'entreprise" : ça a l'air moche, effectivement :(

Dans tous les cas, il vaut mieux l'enlever, tu leur dis un truc du genre : "je connais votre monde étrange et imbitable" :mouarf:
02/10/2014, 16h02
momjunior

Citation:

Envoyé par OButterlin

Ce que tu peux faire par contre, c'est récupérer du mail de réponse l'adresse mail de l'expéditeur et l'utiliser pour valider. Si c'est une erreur d'acheminement, il n'existera pas d'enregistrement en attante de validation dans ta base ;)

Et comment récupérer l'adresse mail de l'expéditeur ? :mrgreen:
02/10/2014, 16h28
OButterlin

Citation:

Envoyé par momjunior

Et comment récupérer l'adresse mail de l'expéditeur ? :mrgreen:

Regarde ce tutoriel, ça t'éclairera ;)
04/10/2014, 14h54
Mishulyna

Citation:

Envoyé par OButterlin

J'avais cru comprendre qu'il n'envoyait que ce numéro, pas le couple numéro aléatoire / adresse mail

Oui, vous avez raison et j'avais tout compris de travers... Plus je pense à votre solution, plus je la trouve exquise : d'une élégance et d'une simplicité !

Sauf que moi je ferais peut-être un truc un peu plus compliqué et moins élégant :
- je déclarerais dans la classe Utilisateur une variable @Transient private Integer uid,
- je calculerais dans le Contrôleur la valeur de cette variable à partir de l'id Utilisateur (par ajout de / multiplication avec une constante) et je l'enverrais à l'utilisateur dans le lien.
- lors de la validation, je récupérerais ce paramètre et en faisant la calcul inverse (soustraction ou division) : j'obtiendrais l'id de l'Utilisateur.
Pas besoin de stocker quoi que ce soit dans la base de données, cela ne donne aucune information ni sur l'Utilisateur, ni sur la structure de la table dans la base de données.
C'est peut-être réinventer la roue...
04/10/2014, 15h39
OButterlin

Citation:

Envoyé par Mishulyna

Oui, vous avez raison et j'avais tout compris de travers... Plus je pense à votre solution, plus je la trouve exquise : d'une élégance et d'une simplicité !

Sauf que moi je ferais peut-être un truc un peu plus compliqué et moins élégant :
- je déclarerais dans la classe Utilisateur une variable @Transient private Integer uid,
- je calculerais dans le Contrôleur la valeur de cette variable à partir de l'id Utilisateur (par ajout de / multiplication avec une constante) et je l'enverrais à l'utilisateur dans le lien.
- lors de la validation, je récupérerais ce paramètre et en faisant la calcul inverse (soustraction ou division) : j'obtiendrais l'id de l'Utilisateur.
Pas besoin de stocker quoi que ce soit dans la base de données, cela ne donne aucune information ni sur l'Utilisateur, ni sur la structure de la table dans la base de données.
C'est peut-être réinventer la roue...

Waouh ! C'est vrai que là, tu compliques (un nombre reste un nombre) :D
C'est surtout que tu n'éviteras pas non plus (même en compliquant la valeur) le fait qu'une erreur d'acheminement permettra à quelqu'un d'autre de valider le compte, c'est dommage non ? :aie:
04/10/2014, 15h55
Mishulyna

Citation:

Envoyé par OButterlin

C'est surtout que tu n'éviteras pas non plus (même en compliquant la valeur) le fait qu'une erreur d'acheminement permettra à quelqu'un d'autre de valider le compte, c'est dommage non ? :aie:

C'est vrai ?
Pour l'erreur d'acheminement : je passe un Utilisateur en paramètre à la méthode qui construit le lien et envoie le mail, l'uid et l'adresse mail appartiennent au même Utilisateur, comment cela serait possible d'envoyer la valeur destinée à un Utilisateur vers un autre ? 8O
Pour le méchant qui intercepterait le mail en écoutant le réseau et tenterait d'utiliser le lien (ou le bouton) : je n'y ai pas encore pensé...:oops:

Fuseau horaire GMT +2. Il est actuellement 23h15.

Partenaire : Hébergement Web