php - 过期重置密码电子邮件 key

Question

关于通过电子邮件发送的重置密码 key 的过期标准是什么？

我的应用程序生成一个 30 个字符的字母数字键，附加到 URL: http://site.com/reset/keygoeshere

重置密码后， key 将从用户帐户中删除。

这question谈到过期 key ，但另一位用户提到，如果电子邮件帐户被盗用，那么他们显然可以轻松地请求一个新的重置 key 。

我猜这种方法的主要潜在漏洞是有人可能会尝试暴力破解重置 key ，虽然他不知道 key 属于哪个帐户，但他仍然可以更改某人的密码。

例如，我刚刚点击了 3 天前从 Facebook 发送的重置链接，但它仍然有效。

根据标准做法，密码重置 key 是否必须过期？如果是这样，我们应该让 key 保持“新鲜”多久？

Answer 1

您不能指望处理用户电子邮件帐户被盗的问题。然而，为了防止暴力破解，一个较短的到期时间，比如 15 分钟，是可取的。如果用户请求重设密码，他们通常希望现在获得访问权限，如果出于某种原因他们请求密码重设链接以供日后使用，好吧，去他妈的，他们必须请求另一个。对您链接的 Q 的第一条评论几乎总结了这一点，如果用户不喜欢您保护他们安全的事实，那就是他们的问题。

另外，您可以通过提出挑战问题来使重置更加安全。比如“你的第一辆车是什么”。这些类型的措施是标准的，虽然通常不难找到有关用户的信息，但随机暴力破解者可能不会费心，特别是如果他只有最多 15 分钟的时间来尝试暴力破解特定的重置链接。