必须更改临时密码

Question

当用户登录有困难时，他们输入他们的电子邮件地址以恢复其密码。我的PHP发送一个临时密码（随机长号，以db加密）。但是，如果它是临时密码，我希望它们被重定向到一个页面以更改密码。

如何知道它是否是临时密码？什么是最好的做法+安全？

谢谢

Answer 1

为数据库中的每个用户保留一个标志，指示他们的密码是否是临时的。

Answer 2

这样做的一个显而易见的方法是将其保留在db中，在这种情况下，您必须确保在用户成功更改密码后清除数据库。另一种方式是向用户发送一个秘密链接，供用户重置密码，而不是通过电子邮件发送在固定时间间隔内（取决于数据的请求和敏感度）过期的密码。在某些情况下，另一种方法是更安全一些。