生成临时URL来重置密码

Question

我正在寻求在我的网站上实现“忘记密码”功能。我喜欢将包含一段时间后过期的临时一次性使用URL的电子邮件发送给用户的选项。

我已经看过以下页面来获得这些想法，但我不知道如何使用ASP.NET和C＃实现这一点。正如用户所指出的那样，如果我可以在不将这些信息存储在数据库中的情况下实现这一点，那将是理想的。请指教。

Password reset by emailing temporary passwords

谢谢。

Answer 1

根据您的需求，您可以加密信息，并以类似于以下格式

(UserId)-(ExpireDate) 

加密数据的格式，使该链接，然后对数据进行解密，并从那里采取行动...

原油，但最有可能使用的，并且不需要使用DB

Answer 2

在这里，你的朋友的System.Guid类，因为它会生成一个唯一的（当然，足够的唯一的）128位号：

• 生成新的GUID（System.Guid.NewGuid（））
• 商店该GUID某处（Application对象也许？）
• 发送自定义URL在一封电子邮件，该GUID
• 当用户点击该网站，让他们进入你的电子邮件
• 发送的密码，如果密码匹配，继续前进，迫使他们进入一个新的密码

Answer 3

也许最简单的方法是将要修改的用户表添加2个额外的c或者如果你不想修改现有的表，你可以添加一个名为“UserPasswordReset”或类似的新的从属表。列是这样的：

PasswordResetToken UNIQUEIDENTIFIER, 
PasswordResetExpiration DATETIME 

如果使用附加表的路线走，你所能做的也增加了用户ID列，使其成为一个主键和一个foriegn重要的参考回到你的用户表。还建议使用UNIQUE约束。然后，您只需在您的asp.net应用程序中使用Guid作为标记。

流动可能是这样的：

1. 用户请求密码重置为他们的帐户
2. 您插入表中的一个新的记录（或更新他们的用户记录）由PasswordResetExpiration设定一个日期在未来（DateTime.Now.AddDays（1）），并将令牌设置为Guid.NewGuid（）
3. 用查询字符串中的guid向用户发送链接到您的ResetPassword.aspx页面（http://www.yoursite.com/ResetPassword.aspx?token=Guid-here）
4. 使用ResetPassword.aspx页面进行验证令牌和过期字段。 （I.E.确保DateTime.Now < PasswordResetExpiration）
5. 提供一个简单的表单，允许用户重置此密码。

我知道你想避免修改数据库，但它确实可能是最简单的方法。

Answer 4

我用一个散列类来创建由当前的日期/时间独有的自动登录和用户的电子邮件地址：

string strNow = DateTime.Now.ToString(); 
string strHash = strNow + strEmail; 
strHash = Hash.GetHash(strHash, Hash.HashType.SHA1); 

得到哈希类：http://www.developerfusion.com/code/4601/create-hashes-md5-sha1-sha256-sha384-sha512/

然后只是把它从使用的网址：

if (Request.QueryString["hash"] != null) 
{ 
       //extract Hash from the URL 
       string strHash = Request.QueryString["hash"]; 
} 

Answer 5

@Alex

您也可以使用.NET中的System.Security.Cryptography类作为散列算法。例如：

using System.Security.Cryptography; 
... 
var hash = SHA256CryptoServiceProvider.Create().ComputeHash(myTokenToHash); 
... 

Answer 6

向用户电子邮件发送一些数据|字符串的目标是验证帐户所有者。请注意以下几点：

• 避免在重置或激活链接时发送重要信息。
• 这是存储唯一字符串数据连同用户 帐户并将其作为该链接发送的最佳方式。但请注意，如果您只发送一个 部分作为用户电子邮件链接并在页面中检查它，则您的 应用程序可能会通过蛮力或字典 攻击者处于危险之中。检查一个字符串列表以查找一些链接 并更改密码就足够了。我知道这有一点机会，但不是零。

结果： 我认为这是更好，如果你

1. 结合用户的电子邮件串链接，然后将它们加密 （不散列因为散列值不能反转），并发送至用户 电子邮件。
2. 用户单击并且您的页面获得加密值。
3. 解密值。
4. 提取用户邮件。
5. 在数据库中查找电子邮件。
6. 比较来自接收链接的字符串与附加到数据库中的用户 电子邮件的其他链接。

祝你好运。

Answer 7

我肯定会在这个过程中包含数据库。一旦请求重置，最好指出帐户被锁定。

例如，如果您因为认为自己的帐户可能已被泄密而更改了自己的密码，那么当您执行更改过程时，您绝对不希望它保持可访问状态。

另外，如果有人真的需要它并具有马力，那么在重置令牌中包含“真实”信息可以被解码。生成一个随机字符串会比较安全，将其保存在该用户所在行的数据库中，然后在单击该链接时键入它。

这给了你两件事情：

1）没有什么解密，因此价值没有什么可以从中获得。 2）用户记录中存在令牌表示重置正在进行中，并应将帐户视为锁定。

Answer 8

我会使用哈希码来验证密码重置网址中的详细信息。这一切都可以在不向DB写入任何内容或向攻击者发送任何特权信息的情况下完成。

简要解释正常的密码salt和散列;说盐是1111，密码是password，你要连接这两个字符串并且对字符串1111password进行散列，比如说这会给你一个散列9999，然后你会在你的用户记录中存储原始盐1111和散列9999。

当您使用存储盐验证密码时，连接密码尝试，对其进行散列并与存储的散列进行比较。例如asecret变为1111asecret，但散列为8888。这与原始散列不匹配，所以密码匹配失败。

当然盐和哈希通常会正确地生成和计算与建立的加密库（不要发明自己的！）。

对于密码重置URL，我会为用户设置唯一标识符，例如电子邮件地址，请求的日期以及新的散列。这个哈希将从这些细节连接在一起加上已经为用户存储的盐和散列生成。

例如：

Email: user@example.com 
Request Date: 2014-07-17 
Salt: 1111 
Hash: 9999 

生成这些级联的一个新的哈希值，即'user@example.com2014-07-1711119999'，说这给人的7777的哈希值。

的网址，然后我产生那么将有电子邮件，请求日期和新的散列：

https:\\www.example.com\ResetPassword?email=user@example.com&requestdate=2014-07-17&hash=7777 

服务器与它的盐和散列将结合电子邮件和提供的日期，并确认它产生的散列与提供的相同。如果这是正确的，那么它将显示重置表单，隐藏在其后面的相同三个参数，否则会显示错误。当输入新密码以防止该表单被欺骗时，它们会重新提交并重新检查。

需要提供电子邮件地址才能发出请求，并且只能通过电子邮件发送到相同的地址。日期几乎没有特定的信息，哈希是不可逆的，所以什么也不给。没有数据写入数据库，任何篡改参数都会导致哈希失败，并且URL会报告错误。