Как принципиально работает система восстановления пароля? Меня интересует метод, где отправляется ссылка на почту, и пользователь перейдя по ссылке меняет сам себе пароль. Где и как хранить, чтобы было максимально защищеннее?
3 ответа
Рядом с ячейкой, в которой хранится пароль, создается ячейка со статусом и временем.
1) если кто-то нажал на ссылку "восстановить пароль", юзеру улетает письмо, содержащее хэш айдишника.
2) юзер прошел по ссылке. 1) если уложился в установленное время - даем возможность сменить пароль, устанавливая время сессии пару минут. 2) если не успел - убираем статус смены пароля.
-
Вопрос, поля статус и время должны быть в той же ьаблице, где и все данные пользователя? 29 сен 2011 в 7:49
-
не обязательно. Но я бы сделал в той же, где пароль и логин(почта итп. Т.е. то, что у каждого пользователя должно быть обязательно). А остальные данные пользователя(необязательные) - в другой. Это облегчит поиск.– knes29 сен 2011 в 7:52
-
-
-
Храните в базе пару пользователь - ключ - expiration. Когда пользователь проходит по ссылке сверяете все данные и если всё ок, то даёте менять пароль. Если нет, то посылаете нафиг.
Рядом с полем пароля в поле восстановления, например, прописываете код, с которым человек должен прийти. В ссылке передавать мыло и этот код. Или логин и код или ИД и код (чтобы можно было четко указать кому именно восстанавливать пароль). Далее проверка совпадения и смена пароля на рандомный, и отсылка его на мыло, и очистка кода восстановления. При пустом коде отсылать с восстановлением подальше.
-
Я требование перечитайте, пожалуйста. Мне нужно, чтобы пользователь сам сменил пароль перейдя по ссылке восстановления. 29 сен 2011 в 7:48
-
ну и в чем проблема? при совпадении выведите ему два поля - пароль+подтверждение и в скрытые поля код восстановления + ид или логин и вперед– Grimon29 сен 2011 в 7:49