security - 没有密码但每次用户尝试登录时都会通过电子邮件发送登录链接的用户帐户？

Question

我正在考虑以这种方式为我的网站构建用户登录系统。用户每次需要登录时，通过单击发送到其电子邮件的链接来进行身份验证。

不确定以前是否有人这样做过，但我想知道这实际上是积极的用户体验还是消极的用户体验？

在我的脑海中，我认为这是积极的，因为：

1. 用户只需要提供他或她的电子邮件地址即可注册，因此注册更加容易。（积极的）
2. 没有密码或任何存储在网站数据库中，这对开发人员来说更容易，对黑客来说更难。（积极的）
3. 该系统确保用户是电子邮件的合法所有者（而不是知道/猜到密码的人）。（积极的）
4. 系统需要在发送电子邮件时得到保护，因此开发人员/系统管理员需要做更多的工作。（消极的）
5. 电子邮件可能由于某种原因而延迟，即使是 10 秒也很可能会让用户感到沮丧并最终放弃。（大负面）

这真的适用吗？请问有人有这方面的第一手经验吗？谢谢！

Answer 1

我能想到的最大缺点是，如果有人入侵了他们的电子邮件帐户，他们也可以免费访问您的系统。

考虑到很多很多黑客都是基于首先访问一个人的电子邮件帐户并利用它来访问其他网站，我会说这是一个很大的负面影响。