为什么重置密码URL过期？

Question

更多的理论问题。编写安全的登录系统，我找不到重置密码URL到期的理由。

他们的想法是，如果有人在您的电子邮件中，并希望将您的密码更改为网站。该URL应该过期。绕过这个。他们可以请求对已经泄密的电子邮件地址进行另一次密码更改。

我花时间让它过期了。我认为另一个备用电子邮件地址或手机号码是解决这个问题的唯一方法。我想我欠Kim DotCom钱。

Answer 1

如果没有详细说明，我会看到两个有问题的情况。

• 用户依赖本地存储电子邮件客户端（例如Outlook）。他的帐户没有受到损害，但可能是本地存储。
• 电子邮件帐户可能属于用户不再使用的旧服务提供商，但受感染帐户上的电子邮件仍然可以生成“有效”请求。

因此，不要在评估旧链接时考虑所有可能的失败点（并且你会错过一两个案例），只需将持续时间打到重置令牌，从而防止使用旧的链接/令牌。