c# - 使用我的 UserId Guid 作为我的电子邮件确认链接是否安全？

Question

我想进行电子邮件确认注册，这样当用户注册时，他或她会收到一封带有确认链接的电子邮件。链接类似于:www.site.com/confirm?id=34398df809as8df9，然后将其与来自标准 aspnet 成员(member)提供程序的数据库中的 UserId 相匹配。使用 UserId 作为传递给电子邮件的 guid 是否会造成任何类型的漏洞或安全威胁？

Answer 1

GUID 是唯一在链接中考虑的吗？如果是这样，那绝对不安全。这意味着一旦攻击者获得了任何人的 ID(例如，通过找到旧电子邮件)，他们就可以随时重置用户的密码。

密码重置链接应至少包含一个一次性的、有时间限制的 token 。