php - 生成密码重置密码

Question

我正在做一个允许用户重置密码的模块。我注意到大多数网站都提供了一个确认链接，其中包含具有唯一哈希值的查询字符串。

我的问题是:每次同一用户请求忘记密码时，如何生成这个唯一的哈希值？我应该将此哈希存储在数据库中并稍后使用它进行验证吗？会安全吗？或者我应该创建某种生成一次性密码的算法？如何生成 OTP？

Answer 1

是的，你应该

1. 生成随机重置 token 。参见例如this answer .
2. 将其存储在数据库中(可能有到期时间)
3. 使用重置 token 向用户发送电子邮件。
4. 用户使用查询字符串中的重置 token 访问重置密码页面。
5. 检查数据库以查看与重置 token 关联的用户以及过期时间是否已过。
6. 如果一切正常，则允许用户重置密码并从数据库中删除重置 token 。

关于重置 token (或任何你想调用它的东西)的生成似乎有很多困惑。请阅读我链接到的答案，不要用哈希值和弱种子重新发明轮子。