为什么我们要让帐户激活/密码重置链接在一段时间后过期？

有人忘记了他的密码并要求重置他的密码，一封带有密码重置链接的电子邮件发送给他。

然后他突然记起他的密码，所以他只是忽略密码重置电子邮件。但几天后，他又一次忘了。由于他的邮箱中已经有密码重置电子邮件，他只需点击该链接即可返回网站重置密码。

这似乎没问题，那么为什么我们要让帐户激活/密码重置链接在一段时间后过期？

2010-12-23 bobo

这是其中过期（涉及安全和隐私问题）的潜在优势超过缺点的情况之一（在您的示例中，用户不必返回并请求其他密码重置）。除非你有充分的理由*不要*，否则请遵守标准。 – 2010-12-23 04:32:27

如果他们的电子邮件帐户被盗用会怎么样。攻击者随后会看到所有这些“密码重置”链接，并通过点击进一步损害更多帐户。其中可能会使用真钱或信用卡信息的服务。

2010-12-23 02:48:38 EnabrenTane

如果他的电子邮件帐户遭到入侵并且攻击者看到该电子邮件，即使该链接不是永久链接并且已经过期，他仍然可以访问该网站并请求密码重置电子邮件，因此攻击者仍然可以妥协帐户。 – bobo 2010-12-23 08:58:56

回答