该标签下有 1 篇文章
重置流程是让不知道密码的人设置新密码的机制，因此它本身就是一条认证路径。登录加固得再好，只要重置很弱，重置的强度就是你真正的认证强度。5种出问题的形态：可猜测的令牌、永不过期的令牌、留在邮箱里的链接、目标地址可由外部指定的链接（Host 头）、会暴露账户是否存在的响应。实现上的关键是把指南的明确要求和留给你决定的数值分开。