我已经看到一些使用成员id作为查询字符串参数的建议,但是我觉得这可能会被滥用,因为我正在使用的自定义成员资格表使用guid的ints intead作为id字段。 我认为我需要创建一个自定义表,其中包含一个唯一(长)id以及成员id,该id在用户每次请求密码恢复时填充。然后,该id将作为querystring的一部分传递到密码重置页面的链接中。 这似乎是一个有效的方法;是不是太过分了?如有任何其他建议,将不胜感激。
我会这样处理的。但是,当您完成并实现某种洪水控制时,不要忘记从数据库中删除该行。我知道guid有很多(字面上)组合,但是运行一个简单的IP检查,对比过去5分钟内的尝试次数,并在尝试x次后阻止它们,可以帮助提高重置的安全性。这将变得更加重要,你的用户群越大,他们忘记密码的频率越高。
