authentication - 忘记密码 : what is the best method of implementing a forgot password function?

Question

我想知道在网站上创建忘记密码功能的最佳方法是什么。我见过不少这样的东西，这里有一些或它们的组合:

• 密码问题/答案(1 个或多个)
• 发送包含新密码的电子邮件
• 在屏幕上输入新密码
• 通过电子邮件确认:必须点击链接才能获取新密码
• 要求用户输入新密码的页面

您会为忘记密码功能添加什么组合或附加步骤？我想知道他们如何请求新密码以及最终如何获得它。

我操作的原则是无法找回密码；必须提供/生成新密码。

编辑 我喜欢 Cory 所说的关于如果用户名存在则不显示的内容，但我想知道要显示什么。我认为一半的问题是用户忘记了他们使用的电子邮件地址，显示某种“不存在”消息是有用的。有什么解决办法吗？

Answer 1

1. 我个人会发送一封电子邮件，其中包含一个短期页面的链接，让他们设置新密码。将页面名称设置为某种 UID。
2. 如果您对此不感兴趣，也可以向他们发送一个新密码并强制他们在首次访问时更改密码。

选项 1 更容易。