找回密码

网站要实现找回密码功能,请有经验的同志们谈一谈,首先是必须很安全。

我现在的想法是,用户提交email和用户名,然后发邮件,邮件里面有随机生成的20位验证码,过期时间设为1小时,但是总感觉不太安全,只要知道用户名和email就可以修改密码了,怕就怕在发邮件可拦截了。。。。
[b]问题补充:[/b]
密码是MD5加密存储的,无法还原。

4个回答

直接把密码发送邮件就好了呀 呵呵 发送的方式采用ssl的方式就行。

邮件怕截的话干脆发短信给他咯,难就难在短信也有可能被截,干脆送信,但是送信也不安全。
要我说,你发就发了,他没收到就再发一次,失效时间短一点。email和用户名知道了没有email的密码一样看不到的,实在不行,在加个密码找回的问题,这样估计就可以了。别的再看看别人的回答吧。

给他个地址,一段时间内去这个地址重新设置密码就行了,地址用完就失效。重新设置的时候加上验证密码找回的问题,哪有直接把密码发过去的?都是重新设置的,银行不也这样的嘛?给有效身份验证就可以重新设置了。哪有告诉密码的?

随机产生一个新密码,然后强制更新user的password,然后将新密码发送邮件给用户。

Csdn user default icon
上传中...
上传图片
插入图片
抄袭、复制答案,以达到刷声望分或其他目的的行为,在CSDN问答是严格禁止的,一经发现立刻封号。是时候展现真正的技术了!