忘记密码功能 - 检索和邮件 - symfony2

Question

我想实现忘记密码功能.我不想更改密码.相反,我只想将密码邮寄到提供的电子邮件地址.

但是如何获取解码后的密码并将其邮寄到电子邮件地址？

到目前为止我从SO和其他链接到目前为止都是密码更改过程.我不希望这样.我找不到任何关于此的例子.我正在使用以下编码器:

algorithm:        sha512
encode_as_base64: true
iterations:       1

请帮忙...

Answer 1

简短的回答:你不能,这是一件非常好的事情.

哈希仅应用单向转换以保护原始密码.这是为了在安全漏洞的情况下保护密码的安全性(需要计算成本高昂的操作来查找散列冲突).这是散列(sha512是散列算法)的数学属性,无法对抗.

事实上,安全审核员通常会验证网站的重置密码功能是否不会返回他们设置的原始密码.

允许Symfony2执行此操作的唯一方法是创建自己的编码器.但是,不扫描用户的密码将是一个明显的安全风险.

我还建议你增加用于散列密码的迭代次数(以加强散列)和/或切换到bcrypt.快速哈希是一种糟糕的哈希.