我已经搜遍过，无法找到答案。很明显，对于密码重置方案，用户忘记了密码，相关系统应该向用户注册的电子邮件发送临时令牌/链接，该电子邮件将用户带到安全页面允许用户选择新密码。
我要问的是用户知道当前密码并想要更改密码的情况。我也是在提议 1）用户可以输入旧密码和新密码，并且将发送电子邮件，要求点击链接以确认更改（这也用于通知已做出更改请求），或者 2）用户可以输入当前密码并收到一封电子邮件，其中包含一个链接，可将其带到新的密码选择屏幕。
然而，我没有看到这个过程在任何地方被使用。这种方法是否有理由不再为您提供安全保障，或者这种方法存在安全漏洞？
在我看来，这会增加额外的安全层，因为它是一种双因素身份验证。考虑用户密码被盗用但密码与用户的电子邮件密码不同的情况，并且攻击者没有其他方法来访问用户的电子邮件。攻击者无法锁定所有者，因为攻击者无法单击确认密码更改链接。作为额外的好处，这可以作为向帐户所有者发出通知，告知有人试图通过该帐户。
这简直认为不值得额外的麻烦吗？
答案 0 :(得分：0)
我可以想到两个原因。
1）它会惹恼用户。每一个额外的步骤都会让用户耐心等待。
2）它不会增加安全性。如果有人拥有当前密码，则他们已经可以访问该帐户。如果攻击者无法访问电子邮件帐户，则无论如何都无法永久锁定用户。
您应该要求电子邮件验证，正在更改用户的电子邮件地址。