security - 最好的 "forgot my password"方法是什么？

Question

这个问题已经有答案了:

已关闭 10 年前。

Possible Duplicate:
Forgot Password: what is the best method of implementing a forgot password function?

我正在编写一个社区网站。

我想构建一个“忘记密码”功能。

环顾不同的网站，我发现他们采用三个选项之一:

1. 向用户发送一封电子邮件，其中包含指向唯一隐藏 URL 的链接，允许用户更改密码(Gmail 和 Amazon)

2. 向用户发送一封电子邮件，其中包含随机生成的新密码 (Wordpress)

3. 向用户发送当前密码 (www.teach12.com)

选项 #3 对用户来说似乎是最方便的，但由于我将密码保存为 MD5 哈希值，因此我不知道如何使用选项 #3，因为 MD5 是不可逆转。这似乎也是不安全选项，因为它意味着网站必须在某处以明文形式保存密码，并且至少明文密码通过不安全的电子邮件发送给用户。或者我在这里遗漏了什么？

因此，如果我不能执行选项 #1，选项 #2 似乎是最简单的编程，因为我只需更改用户的密码并将其发送给他。尽管这有点不安全，因为您必须通过不安全的电子邮件传递实时密码。然而，麻烦制造者也可能会滥用这一点，通过输入随机电子邮件并不断更改各个用户的密码来纠缠用户。

选项 #1 似乎是最安全，但需要一些额外的编程来处理过期的隐藏 URL 等，但这似乎是大网站使用。

您有哪些使用/编程这些不同选项的经验？我是否错过了任何选项？

Answer 1

4)将两个随机金额记入他们的银行帐户，并要求他们输入这些金额。
5) Snail 向他们邮寄一些新密码并要求他们输入。
6) 让他们用他们注册的手机发短信或调用某个号码，并在电话号码中输入一些值。
7) 将密码管理外包给 Stack Overflow、Facebook、博客引擎等 OpenID 提供商，其他提供商也开始这样做，从而彻底解决密码管理问题。

除此之外，请使用选项 #1 或 #2 以及附加功能，这两个选项都会在一小时内过期。