PHP 비밀번호 재설정 취약점을 방지하기 위한 조언 및 팁

// 生成密码重置链接 $token = generateToken(); // 生成一个随机的token $expireTime = time() + 3600; // 设置密码重置链接的过期时间为1小时 // 存储token和过期时间到数据库或其他存储方式中 storeTokenAndExpireTime($token, $expireTime); // 发送带有token的密码重置链接给用户 $emailContent = "请点击以下链接重置您的密码： "; $emailContent .= "https://example.com/reset-password.php?token=".$token; // 验证密码重置请求 if(isset($_GET['token'])){ $token = $_GET['token']; // 获取token对应的过期时间 $expireTime = getExpireTimeByToken($token); // 检查链接是否过期 if(time() < $expireTime){ // 验证通过，显示重置密码的表单 displayResetPasswordForm(); }else{ // 链接已过期，显示错误信息 displayErrorMessage("密码重置链接已过期！"); } }else{ // 无token参数，显示错误信息 displayErrorMessage("无效的密码重置链接！"); }

// 生成密码重置链接 $token = generateToken(); // 生成一个随机的token $expireTime = time() + 3600; // 设置密码重置链接的过期时间为1小时 $userId = 123; // 获取用户ID // 存储token、过期时间和用户ID到数据库或其他存储方式中 storeTokenExpireTimeAndUserId($token, $expireTime, $userId); // 发送带有token和userID的密码重置链接给用户 $emailContent = "请点击以下链接重置您的密码： "; $emailContent .= "https://example.com/reset-password.php?token=".$token."&user=".$userId; // 验证密码重置请求 if(isset($_GET['token']) && isset($_GET['user'])){ $token = $_GET['token']; $userId = $_GET['user']; // 获取token对应的过期时间和用户ID $expireTime = getExpireTimeByToken($token); $storedUserId = getUserIdByToken($token); // 检查链接是否过期和用户ID是否匹配 if(time() < $expireTime && $userId == $storedUserId){ // 验证通过，显示重置密码的表单 displayResetPasswordForm(); }else{ // 链接已过期或用户ID不匹配，显示错误信息 displayErrorMessage("密码重置链接已过期或无效！"); } }else{ // 缺少token或userID参数，显示错误信息 displayErrorMessage("无效的密码重置链接！"); }