必须更改临时密码

Question

当用户登录时遇到困难时，他们会输入自己的电子邮件地址以恢复密码。我的php发送一个临时密码（随机长号，在db中加密）。但是，我希望将它们重定向到页面以更改密码（如果它是临时密码）。

我如何知道它是否是临时密码？什么是最好的方法+安全？

由于

Answer 1

为数据库中的每个用户保留一个标志，指示他们的密码是否是临时密码。

Answer 2

这样做的一个显而易见的方法是将其保留在db中，在这种情况下，您必须确保在用户成功更改密码后清除数据库。另一种方法是向用户发送秘密链接以供用户重置密码，而不是通过电子邮件发送密码，该密码在固定的时间间隔内到期（取决于数据的要求和灵敏度）。在某些情况下，另一种方法是更加安全的方式。