如何实现“忘记密码”功能？

http://www.example.com/changePassword?token=uniqueTokenForTheUser

#1 楼

仅为此使用HTTPS，然后我们将介绍实现的详细信息。

首先，您将要防止用户枚举。

，请不要在页面上显示该用户是否存在。这仅应在电子邮件本身中公开。

其次，您将要避免引荐来源网址泄漏。确保目标链接上没有外部链接或外部资源。缓解此问题的一种方法是在跟随初始链接后进行重定向，以使令牌不再位于查询字符串中。请注意，如果出现问题（例如，数据库暂时关闭），并且显示了标准错误模板，则如果该令牌包含任何外部引用，则可能会导致该令牌泄漏。

生成一个具有CSPRNG的128位熵的令牌。使用SHA-2存储此服务器端，以防止重置表上的任何数据泄漏漏洞都允许攻击者重置密码。请注意，不需要盐。在短时间（例如几个小时）后将这些令牌过期。

除了在电子邮件链接中向用户提供未哈希的令牌外，还为用户提供了浏览页面的选项手动，然后粘贴令牌值。默认情况下，这可以防止查询字符串值记录在浏览器历史记录以及任何代理和服务器日志中。

或者，您可能要确保启动密码的会话的会话标识符重置是跟随链接的那个。这可以帮助保护攻击者可以访问用户电子邮件的帐户（例如，设置对电子邮件帐户的访问权限受限的快速转发全部规则）。但是，所有这些操作的真正目的是防止攻击者在用户请求重置后进行机会性攻击-如果攻击者想要定位到您的特定站点，攻击者仍可以为受害者请求自己的重置令牌。一旦密码已重置为用户的选择之一，您将需要使令牌失效并向用户发送电子邮件，以告知他们发生了这种情况，以防万一攻击者设法以某种方式重置了密码（无需控制）邮件帐户）-深入防御。您还应该旋转当前会话标识符，并使该用户帐户的其他会话失效。
这消除了用户必须再次登录的需要，同时清除了攻击者绕过的所有会话，尽管有些用户喜欢该站点将其注销，以便他们得到确认信息，确认他们的密码已被重置。重定向到登录页面还使一些密码管理器有机会保存登录URL和新密码，尽管许多人已经从重置页面检测到新密码。

您可能还希望考虑其他带外选项，用于重置机制和更改通知。例如，通过短信或手机警报。

#2 楼

您的思路是正确的。但是，我建议您从一个步骤开始，描述忘记密码功能的流程。有人声称忘记了密码，您需要确保标识此人确实是将为其启动密码恢复过程的帐户的所有者。

以下流程假定提供了以下服务：人们可以注册自己，例如网站（换句话说，可以使用注册功能建立注册电子邮件和/或用户名的列表）。

第一步：识别用户


点击“糟糕，我忘记了密码”链接，向用户显示一个表单，供他们输入用户名和电子邮件地址（也可以在表单中提示他们有关电子邮件地址的提示） of：'s ..... @ o .... com'）;
通知他们输入的电子邮件地址是否属于他们输入的用户名（是或否）；
如果输入用户名和密码匹配，继续下一步。

第二步：开始恢复过程


生成随机恢复令牌（128位应该可以）；
存储的哈希此令牌（使用密码哈希算法创建），以及在数据库中的创建时间戳记；
向用户发送一封电子邮件，其中包含指向更改密码表单的链接（包含恢复令牌）。更改密码表单的URL应该为HTTPS。
当您收到更改密码请求时，请检查：[1]。令牌的有效性（使用其创建时间与当前时间进行比较，通常10分钟的时间窗口就足够了）； [2]。如果提供的令牌正确（对令牌进行哈希处理，则将生成的哈希与数据库中的哈希进行比较，就像输入密码一样）；
如果所有检查都通过，则继续下一步。

第三步：更新密码


销毁您可能为此用户存储的所有“记住我”信息；
销毁与此用户关联的所有活动会话；
更新用户密码；
有选择地向他们的电子邮件地址发送电子邮件，通知他们更改；
登录用户。 >

#3 楼

您的方法接近最佳实践。可能会有一个小的补充：


您可能要求用户名与令牌匹配，而不是仅仅从令牌中扣除用户。
您应该使用https而不是http 。

其他问题：关于生成：生成它们的通常方法是使用UUID，但是正如指出的那样，您应该使用完全随机且足够长的字符串。
关于删除：您可以按照建议定期清理未使用的旧令牌。也许使用一个允许邮件通过常规电子邮件灰名单的时间范围，例如15分钟。

#4 楼

关于此的一些想法：


电子邮件本质上是不安全的。攻击者可能会将令牌窃取到服务器与用户收件箱之间的任何位置。如果可能，请考虑使用另一种通信媒介，例如SMS。
如果通过电子邮件发送邮件，则还原链接应通过HTTPS而非HTTP进行。至少可以加密该过程的一部分。
为了防止用户枚举攻击，您可能希望显示相同的消息，无论用户输入的用户名/电子邮件地址是否存在。 （至少在用户仅输入用户名之后，不要显示电子邮件错误。）
使用良好的伪随机数生成器和长令牌。没有人应该能够猜出令牌。为了使令牌猜测更加困难，要求用户同时输入用户名和令牌。限制尝试次数（每个用户名和/或IP）也可以防止暴力破解。也许也是验证码？
您想限制令牌有效的时间。如果电子邮件卡在过滤器中，它可能会变慢，但我看不出有谁会需要半个小时以上的时间。
还原帐户后，请终止该帐户的所有旧会话。用户可能想要还原该帐户，因为该帐户已遭到破坏，然后应该注销攻击者。
仅发送一个使用令牌，而不发送新密码！永远不要通过电子邮件发送密码。
只允许一次使用令牌！使用该密码后，请立即将其删除（即使用户实际上并未更改密码）。

有关该主题的更多信息，我建议使用Troy Hunt。