我已经搜遍过,无法找到答案。很明显,对于密码重置方案,用户忘记了密码,相关系统应该向用户注册的电子邮件发送临时令牌/链接,该电子邮件将用户带到安全页面允许用户选择新密码。
我要问的是用户知道当前密码并想要更改密码的情况。我也是在提议 1)用户可以输入旧密码和新密码,并且将发送电子邮件,要求点击链接以确认更改(这也用于通知已做出更改请求),或者 2)用户可以输入当前密码并收到一封电子邮件,其中包含一个链接,可将其带到新的密码选择屏幕。
然而,我没有看到这个过程在任何地方被使用。这种方法是否有理由不再为您提供安全保障,或者这种方法存在安全漏洞?
在我看来,这会增加额外的安全层,因为它是一种双因素身份验证。考虑用户密码被盗用但密码与用户的电子邮件密码不同的情况,并且攻击者没有其他方法来访问用户的电子邮件。攻击者无法锁定所有者,因为攻击者无法单击确认密码更改链接。作为额外的好处,这可以作为向帐户所有者发出通知,告知有人试图通过该帐户。
这简直认为不值得额外的麻烦吗?
答案 0 :(得分:0)
我可以想到两个原因。
1)它会惹恼用户。每一个额外的步骤都会让用户耐心等待。
2)它不会增加安全性。如果有人拥有当前密码,则他们已经可以访问该帐户。如果攻击者无法访问电子邮件帐户,则无论如何都无法永久锁定用户。
您应该要求电子邮件验证,正在更改用户的电子邮件地址。