在创建帐户期间，最好自动生成密码并将其发送给用户，还是让用户创建自己的密码？

今天，在与一位同事讨论我们正在研究的网站的“创建帐户”页面时出现了这个问题。

我同事的意见是，我们应该使注册尽可能快速和无缝，因此，我们只需要向用户询问他的电子邮件，然后剩下的就好了。

我同意这个意图，但是对此有一些担忧：

• 由于我们生成了密码，因此我们有责任确保密码足够安全
• 以我的经验，当遇到难以理解的密码时，用户可能会将其写下来
• 没有写下密码的用户很可能会忘记它。这意味着他们必须定期要求输入新密码，这对任何人都不好玩

但是，考虑到用户创建的密码的一般质量，以及太多的人倾向于对所有事物使用相同的密码（“发声者”）的事实，我可以看到为他们生成强密码的意义。

我仍然为此感到痛苦。我们正在商人网站上工作，用户可以选择保存其信用卡详细信息，因此使用最安全的方法显然非常重要。

电子邮件方法的优势在于，通过这种方式，您可以确保用户确实提供了他/她控制的有效电子邮件帐户。

但是，众所周知，电子邮件渠道是不安全的。这意味着可以截获密码。因此，只有在首次登录时仅使用一次生成的密码并且确保用户必须更改密码时，才应考虑使用此方法。

从某种意义上讲，与您的网站的tls / ssl连接很难被拦截而不被发现，从某种意义上说，直接方法更安全。