如何保护重置密码功能？

Question

我想实现重置密码功能，以防用户丢失密码。但我担心有人能够对不属于他的单个或多个电子邮件地址提出大量此类请求，这对这些地址的实际所有者来说会很烦人，我最终会被列入黑名单。

我能做些什么来保护这个功能？设置每个 ip 发送的有效电子邮件的限制？（我猜最多 3 封电子邮件就可以了）

Answer 1

为什么不简单地在密码重置请求表中添加验证码？然后，您可以限制每个电子邮件地址和每天/每周/每月的请求数量，但 CAPTCHA 会使机器人远离。