Question

我正在为我的网站编写密码重置页面。这是我的想法：

一个。用户单击登录页面上的“忘记密码”链接

湾重定向到我的密码重置页面

℃。用户输入他的电子邮件地址

d。发送到电子邮件地址的电子邮件，其中包含重置其密码的链接。该链接中包含安全代码，如？code =“xxxx”。

即用户打开链接并输入新密码，然后单击“提交”按钮。

F。我的页面更改了用户的密码。

我的问题是步骤f。在步骤e中，当用户打开链接时，我可以验证他的安全代码，然后向用户显示“新密码”和“确认密码”字段。但是当用户点击提交按钮时，我怎么知道这是用户而不是黑客提交的真实请求？也许我错了，但我认为黑客可以很容易地模拟这样的现场数据，因为没有验证字段。

我可以想到在步骤f中验证请求有一些想法，但我不知道它们是否正确。 1.在步骤e中添加加密的cookie并在步骤f中检查它？ 2.在步骤e中使用会话变量并在步骤f中检查它？ 3.在步骤e中添加隐藏字段并在步骤f中检查它？

这些方法可以吗？哪一个更好，还是有更好的一个？

提前致谢。

Answer 1

输入用户名和重置代码的用户应将其登录到网站，就像用户名和密码一样。不同之处在于您立即强迫他们更改密码。使用此密码重置方法，您隐含地相信用户是发送代码的电子邮件帐户的所有者。

编辑：

好的，所以我不知道关于ASP.net的第一件事。

但是，我以前多次处理过这个问题。这是我的PHP解决方案：

<?php
class AuthController extends Zend_Controller_Action
{
    public function identifyAction()
    {
        if ($this->_request->isPost()) {
            $username = $this->_getParam('username');
            $password = $this->_getParam('password');

            if (empty($username) || empty($password)) {
                $this->_flashError('Username or password cannot be blank.');
            } else {
                $user = new User();
                $result = $user->login($username, $password);

                if ($result->isValid()) {
                    $user->fromArray((array) $this->_auth->getIdentity());

                    if ($this->_getParam('changepass') || $user->is_password_expired) {
                        $this->_redirect('auth/change-password');
                        return;
                    }
                    $this->_doRedirect($user);
                    return;
                } else {
                    $this->_doFailure($result->getIdentity());
                }
            }
        }
        $this->_redirect('/');
    }

    public function forgotPasswordAction()
    {
        if ($this->_request->isPost()) {
            // Pseudo-random uppercase 6 digit hex value
            $resetCode = strtoupper(substr(sha1(uniqid(rand(),true)),0,6));

            Doctrine_Query::create()
                ->update('dUser u')
                ->set('u.reset_code', '?', array($resetCode))
                ->where('u.username = ?', array($this->_getParam('username')))
                ->execute();

            $mail = new Zend_Mail();
            $mail->setBodyText($this->_resetEmailBody($this->_getParam('username'), $resetCode));
            $mail->setFrom('no-reply@example.com', 'Example');
            $mail->addTo($this->_getParam('username'));
            $mail->setSubject('Forgotten Password Request');
            $mail->send();


            $this->_flashNotice("Password reset request received.");
            $this->_flashNotice("An email with further instructions, including your <em>Reset Code</em>, has been sent to {$this->_getParam('username')}.");
            $this->_redirect("auth/reset-password/username/{$this->_getParam('username')}");
        }
    }

    public function resetPasswordAction()
    {
        $this->view->username = $this->_getParam('username');
        $this->view->reset_code = $this->_getParam('reset_code');

        if ($this->_request->isPost()) {
            $formData = $this->_request->getParams();
            if (empty($formData['username']) || empty($formData['reset_code'])) {
                $this->_flashError('Username or reset code cannot be blank.');
                $this->_redirect('auth/reset-password');
            } elseif ($formData['new_password'] !== $formData['confirm_password']) {
                $this->_flashError('Password and confirmation do not match.');
                $this->_redirect('auth/reset-password');
            } else {
                $user = new User();
                $result = $user->loginWithResetCode($formData['username'], $formData['reset_code']);

                if ($result->isValid()) {
                    $user->updatePassword($result->getIdentity(), $formData['new_password']);

                    $user->fromArray((array) $this->_auth->getIdentity());
                    $this->_setLegacySessionData($user);

                    $this->_flashNotice('Password updated successfully!');
                    $this->_doRedirect($user);
                } else {
                    $this->_doFailure($result->getIdentity());
                    $this->_redirect('auth/reset-password');
                }
            }
        }
    }

    protected function _doFailure($username)
    {
        $user = Query::create()
            ->from('User u')
            ->select('u.is_locked')
            ->where('u.username = ?', array($username))
            ->fetchOne();

        if ($user->is_locked) {
            $lockedMessage = Config::get('auth.lock_message');
            if (!$lockedMessage) {
                $lockedMessage = 'This account has been locked.';
            }
            $this->_flashError($lockedMessage);
        } else {
            $this->_flashError('Invalid username or password');
        }
    }
}

如果你可以遵循这个，它应该让你知道该怎么做。我会试着总结一下：

identifyAction

这是使用用户名和密码的常规“登录”。它会记录用户并将其身份存储在会话中。

forgotPasswordAction

这会向用户显示一个请求其用户名的表单。输入用户名后，会生成一个重置代码，存储在用户表的条目中，然后通过电子邮件发送，重定向到重置密码页面。此页面未经身份验证，用户未登录。

resetPasswordAction

这是向用户呈现“resetPassword”表单的位置。他们必须提供用户名和通过电子邮件收到的重置代码。此使用给定的用户名和重置代码对用户进行身份验证，就像重置代码是密码一样。如果凭据有效，则用户将被重定向到changePassword操作，允许他们更改密码。 changePasswordAction（未显示）要求用户通过用户名/密码或用户名/ resetCode

进行身份验证（登录）

希望这有帮助。

Answer 2

如果您通过电子邮件发送的代码是GUID或某些此类ID，那么有人猜测该代码的可能性很低。如果你还有链接包括他们的电子邮件的散列版本或其他一些将代码链接到用户的方式，我认为你可以安全地避免恶意输入。

除非您正在对数据库中当前存在的电子邮件进行某种验证，否则我会更担心人们会从步骤c / d发送垃圾邮件。

Answer 3

使用forgot-password标记在StackOverflow上搜索其他问题。关于良好的算法和技术，已有几个写得很好的答案。

重置密码页面上的用户验证

3 个答案:

编辑：