防止密码提示正确输入密码

Question

我正在实现密码+密码提示代码我想要阻止用户提示密码提示立即显示实际密码.

以下是我想要阻止的方案:

让我们说密码是:foob​​ar123

然后密码提示不能是:

• "foobar123"
• "密码是:foobar123"
• "foobar-1-2-3"(或任何其他x len分隔符)
• "f00bar123"(用零替换o)

几个问题:

1. 我对此过火了吗？我应该让用户为不知不觉的安全付出代价吗？
2. 我是否错过了一个我需要预防的明显场景？
3. 可以使用正则表达式评估每个方案吗？这是我能想到的最可扩展的添加未来检查的方法.

Answer 1

我只是给用户一组固定的问题供他们选择,他们提供了答案.通过这种方式,您永远不会公开用户输入值,只会显示用户从预先选择的预选列表中选择的值.这样可以完全避免您的问题.

或者,如果您拥有用户的电子邮件地址,则只需重置密码即可发送带有编码密钥的链接,该密钥允许一次性更改密码.这样您就不需要提供提示,只需更改密码以响应其中一个一次性票证.