必須更改臨時密碼

Question

當用戶登錄有困難時，他們輸入他們的電子郵件地址以恢復其密碼。我的PHP發送一個臨時密碼（隨機長號，以db加密）。但是，如果它是臨時密碼，我希望它們被重定向到一個頁面以更改密碼。

如何知道它是否是臨時密碼？什麼是最好的做法+安全？

謝謝

Answer 1

爲數據庫中的每個用戶保留一個標誌，指示他們的密碼是否是臨時的。

Answer 2

這樣做的一個顯而易見的方法是將其保留在db中，在這種情況下，您必須確保在用戶成功更改密碼後清除數據庫。另一種方式是向用戶發送一個祕密鏈接，供用戶重置密碼，而不是通過電子郵件發送在固定時間間隔內（取決於數據的請求和敏感度）過期的密碼。在某些情況下，另一種方法是更安全一些。