生成密码重置的密码

是的,你应该

1. 生成随机重置令牌。参见例如。 this answer .
2. 将其存储在数据库中(可能有到期时间)
4. 用户使用查询字符串中的重置令牌访问重置密码页。
5. 检查数据库以查看与重置令牌相关联的用户以及是否已过过期时间。
6. 如果所有内容都签出,则允许用户重置密码并从数据库中删除重置令牌。

$pwd_reset_hash = hash ( 'sha256' , $user_id . $user_salt, uniqid("",true));

将其作为此用户的重置密钥存储在数据库中(连同请求时间)

 user_id  pwd_reset_hash  time_requested  
===========================================  
 123      ae12a45232...   2010-08-24 18:05

使用或过期时将其从数据库中删除

• 将url发送给用户,包括“token”。
• 如果访问了链接,请检查令牌是否存在,允许用户更改密码
• 从数据库中删除令牌。

正如在其他回答中所说的,对用户id进行SHA1或MD5操作,结合使用microtime和一些salt字符串通常是安全的。

 $hash = md5(time() . $userid . 'mysite');

2) 是的,存储在数据库中。

4) 不,生成一次性密码通常会惹恼用户。