生成重置密码令牌的最佳做法

Question

关于如何构建重置密码令牌的最佳实践？我在想:

随机17个字符[a-zA-Z0-9] +全局唯一id +随机17个字符[a-zA-Z0-9].

是否有更好的解决方案,或重置密码令牌的行业标准？

Answer 1

有一些重要的要点需要考虑.

1. 代码应该是随机的(从MCRYPT_DEV_URANDOM读取),不应该从其他用户相关信息中获取.
2. 理想情况下,代码是base62编码的(AZ az 0-9),以避免Url出现问题.
3. 仅在数据库中存储令牌的哈希值,否则对数据库具有读访问权限的攻击者可以重置任何帐户.

这导致了在用户单击链接后必须在数据库中找到令牌的哈希的问题.存储令牌有两种可能的方法:

• 您使用SHA512之类的哈希算法对令牌进行哈希处理,而不使用盐.如果令牌非常强大(最小长度为20且0-9 az AZ),则这是安全的.从理论上讲,在将数据输入数据库之前,必须检查这种哈希是否已经存在,实际上这可以忽略不计.我实现了一个可以处理这些令牌的密码重置类.
• 您使用BCrypt和salt散列令牌.这允许更短的令牌,但您无法在数据库中搜索散列令牌.相反,您必须在链接中包含row-id才能找到令牌.