找回密碼的功能設計

1、找回密碼的功能設計所有需要登錄的網(wǎng)站，都會提供找回密碼的功能，防止用戶忘記密碼。正確設計這個功能，保證安全可靠，并不簡單。下面就是安全專家TroyHunt給出的。、如何保存密碼個網(wǎng)站要想保證密碼安全，第一步就是以正確的方法保存密碼。一般說來，密碼有三種保存方式。明文保存明文保存就是用戶的密碼原文不動地寫入數(shù)據(jù)庫。這種方式最不安全，極易泄漏，應該嚴格禁用。加密保存加密保存就是使用密鑰，將密碼加密后，以密文保存進數(shù)據(jù)庫。這種方式雖然有一定的安全性，但是終究還是可以用密鑰還原密碼。因此，還是存在泄漏的可能，也不推薦使用。哈希保存哈希保存就是對密碼使用哈希算法，將哈希值保存進數(shù)據(jù)庫。為了增加隨機性，防

2、止彩虹表這一類的工具，計算哈希的時候，每個用戶都有個不樣的鹽值(salt)，也會同時保存進數(shù)據(jù)庫。哈希是單向運算，無法還原，所以即使哈希值泄漏，一般來說，也不會暴露用戶的原始密碼。第條規(guī)則：密碼永遠都要哈希保存。二、密碼重置如果密碼是哈希保存，用戶一旦忘記密碼，網(wǎng)站也無法知道原始密碼是什么，只能讓用戶重置密碼。第二條規(guī)則：找回密碼就是讓用戶重置密碼。重置密碼又有兩種做法。有的網(wǎng)站先自動改成一個隨機密碼，然后再讓用戶登錄后自己改掉。這樣做的風險在于，你必須把隨機密碼告知用戶，通過郵件或短信，這個過程中就有可能泄漏。第三條規(guī)則：重置密碼的時候，要給出一個鏈接，讓用戶到網(wǎng)頁上自己修改密碼。重置鏈接由

3、于是明文傳播，而且直接修改密碼，所以必須有失效時間。一般來說，可以設成10分鐘失效。三、用戶名還是郵件地址？重置密碼之前，必須知道重置誰的密碼。這時需要用戶提供，注冊時的郵件地址。第四條規(guī)則：重置密碼之前，如果用戶提供了錯誤的郵件地址，不要提示他。這是因為如果提示了，數(shù)據(jù)庫不包含某個郵件地址，就可能像下圖那樣，泄露用戶的隱私，被釣魚者利用。文章雖然是我轉(zhuǎn)載過來的，但是我特意把圖片打碼了，免得這篇文章被和諧A獸hitaItitpgmxQifiVLi1.!-liInPrrvatie守fiKOUrwuprnamtatVFDEQSPHOTOSCQMMJNlTfPREMEUfWRECOVERYOURPA

4、SSWORDThereisrau&eriEteredwoaddress!：?Email:正確的做法是，不管用戶輸入什么郵箱，都向該郵箱發(fā)郵件。在郵件里說明，有人嘗試重置密碼，但是他輸入的郵箱不在數(shù)據(jù)庫里面。如果不是采用郵件地址，而是根據(jù)用戶名識別用戶，就沒有辦法不提示，某個用戶名是否存在。某些人的用戶名非常特殊，一旦知道該用戶名存在，就幾乎可以肯定是該人注冊的。第五條規(guī)則：重置密碼的時候，識別用戶最好依靠郵件地址，而不是用戶名。四、過濾用戶為了防止機器人攻擊，進入重置密碼之前，最好加上CAPTCHA識別。此外，還要防止一種情況：張三知道李四的郵箱，然后使用找回密碼功能，讓系統(tǒng)給李四發(fā)出重置密碼的郵件。第六條規(guī)則：如果條件允許，重置密碼之前，最好請