2

Как принципиально работает система восстановления пароля? Меня интересует метод, где отправляется ссылка на почту, и пользователь перейдя по ссылке меняет сам себе пароль. Где и как хранить, чтобы было максимально защищеннее?

3 ответа 3

2

Рядом с ячейкой, в которой хранится пароль, создается ячейка со статусом и временем.
1) если кто-то нажал на ссылку "восстановить пароль", юзеру улетает письмо, содержащее хэш айдишника.
2) юзер прошел по ссылке. 1) если уложился в установленное время - даем возможность сменить пароль, устанавливая время сессии пару минут. 2) если не успел - убираем статус смены пароля.

6
  • Вопрос, поля статус и время должны быть в той же ьаблице, где и все данные пользователя? 29 сен 2011 в 7:49
  • не обязательно. Но я бы сделал в той же, где пароль и логин(почта итп. Т.е. то, что у каждого пользователя должно быть обязательно). А остальные данные пользователя(необязательные) - в другой. Это облегчит поиск.
    – knes
    29 сен 2011 в 7:52
  • однако... О_о
    – knes
    29 сен 2011 в 8:18
  • Что такое? 29 сен 2011 в 8:21
  • Удивлен, что этот ответ принят. =) Но приятно удивлен.
    – knes
    29 сен 2011 в 8:24
2

Храните в базе пару пользователь - ключ - expiration. Когда пользователь проходит по ссылке сверяете все данные и если всё ок, то даёте менять пароль. Если нет, то посылаете нафиг.

3
  • Блин, опоздал на двадцать секунд :)
    – cy6erGn0m
    29 сен 2011 в 7:43
  • А я думал, я опоздаю, ибо писал как диссертацию. ))
    – Grimon
    29 сен 2011 в 7:44
  • А я на минуту. И что? =) Зато убедился, что мыслю более-менее правильно.
    – knes
    29 сен 2011 в 7:45
2

Рядом с полем пароля в поле восстановления, например, прописываете код, с которым человек должен прийти. В ссылке передавать мыло и этот код. Или логин и код или ИД и код (чтобы можно было четко указать кому именно восстанавливать пароль). Далее проверка совпадения и смена пароля на рандомный, и отсылка его на мыло, и очистка кода восстановления. При пустом коде отсылать с восстановлением подальше.

2
  • Я требование перечитайте, пожалуйста. Мне нужно, чтобы пользователь сам сменил пароль перейдя по ссылке восстановления. 29 сен 2011 в 7:48
  • ну и в чем проблема? при совпадении выведите ему два поля - пароль+подтверждение и в скрытые поля код восстановления + ид или логин и вперед
    – Grimon
    29 сен 2011 в 7:49

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.