找回密码的功能设计

时间:2019-10-16 03:53来源:未知 作者:admin 编辑:admin 点击:
正确设计这个功能,保证安全可靠,并不简单。下面就是安全专家 Troy Hunt 给出的设计指南。 一个网站要想保证密码安全,第一步就是以正确的方法保存密码。一般说来,密码有三种保存方式。 明文保存就是用户的密码原文不动地写入数据库。这种方式最不安全,极

  正确设计这个功能,保证安全可靠,并不简单。下面就是安全专家 Troy Hunt 给出的设计指南。

  一个网站要想保证密码安全,第一步就是以正确的方法保存密码。一般说来,密码有三种保存方式。

  明文保存就是用户的密码原文不动地写入数据库。这种方式最不安全,极易泄漏,应该严格禁用。

  加密保存就是使用密钥,将密码加密后,以密文保存进数据库。这种方式虽然有一定的安全性,但是终究还是可以用密钥还原密码。因此,还是存在泄漏的可能,也不推荐使用。

  哈希保存就是对密码使用哈希算法,将哈希值保存进数据库。为了增加随机性,防止彩虹表这一类的工具,计算哈希的时候,每个用户都有一个不一样的盐值(salt),也会同时保存进数据库。

  哈希是单向运算,无法还原,所以即使哈希值泄漏,一般来说,也不会暴露用户的原始密码。

  如果密码是哈希保存,用户一旦忘记密码,网站也无法知道原始密码是什么,只能让用户重置密码。

  重置密码又有两种做法。有的网站先自动改成一个随机密码,然后再让用户登录后自己改掉。这样做的风险在于,你必须把随机密码告知用户,通过邮件或短信,这个过程中就有可能泄漏。

  第三条规则:重置密码的时候,要给出一个链接,让用户到网页上自己修改密码。

  重置链接由于是明文传播,而且直接修改密码,所以必须有失效时间。一般来说,可以设成10分钟失效。

  重置密码之前,必须知道重置谁的密码。这时需要用户提供,注册时的邮件地址。

  这是因为如果提示了,数据库不包含某个邮件地址,就可能像下图那样,泄露用户的隐私,被钓鱼者利用。

  正确的做法是,不管用户输入什么邮箱,都向该邮箱发邮件。在邮件里说明,有人尝试重置密码,但是他输入的邮箱不在数据库里面。

  如果不是采用邮件地址,而是根据用户名识别用户,就没有办法不提示,某个用户名是否存在。某些人的用户名非常特殊,一旦知道该用户名存在,就几乎可以肯定是该人注册的。

  此外,还要防止一种情况:张三知道李四的邮箱,然后使用找回密码功能,让系统给李四发出重置密码的邮件。

  第六条规则:如果条件允许,重置密码之前,最好请用户回答一些个人问题,或者采用2FA 验证,比如短信验证码。

  最后,不要忘了记录 IP 地址,在邮件里面告诉用户,哪个 IP 地址在申请重置你的密码。

  我 PornHub 给你10倍!英语培训费(毕竟全球最大的线上英文学习网站XD

  用户名那个,应该和邮件一样,不管输入什么用户名,都告诉前端已发送验证邮件(后台发现没用用户则不发送),这样不就不会泄漏特定用户名了。

  阮大神,我是一只前端小菜鸡。遇到一个难搞的问题想请教大神,html元素怎么赋给变量呢?不是通过字符串那种形式,a = $(#sendInspectBtn)[0]类似于这种形式,但现在元素没在html中,不知道怎么赋值了

  阮大神,我是一只前端小菜鸡。遇到一个难搞的问题想请教大神,html元素怎么赋给变量呢?不是通过字符串那种形式,a = $(#sendInspectBtn)[0]类似于这种形式,但现在元素没在html中,不知道怎么赋值了

  首先要确认标签在dom中,通过dom就可以拿到的。如果标签没在dom中,那么创建的时候必须放在可访问的变量中才能拿到。

  你好,這篇寫得好讚!不過我有點好奇,因為您所參考的 Troy Hunt 那篇文章已經是2012年的文章了,這些方式到現在2019年都不變都ㄧ樣使用嗎? 謝謝

  个人猜想,这个不存在提示出现就可以知道没提示的是在这个邮箱注册过的,然后通过使用这个网站名义向用户发送带有木马的邮件,让用户点击链接。还有可以给这个邮箱发送电诈邮件,说你在这个网站注册时违法的,将你手头上的资金转到安全账户上之类的话。然后什么网站涉及非法集资,要他到某个地方进行说明

  哈希保存密码,除了自己没有人知道你的密码是多少,就算数据库泄露也是,这才对啊

  邮箱验证是以邮箱为维度考虑的。只有用户密码的简单账号,大多做法只返回 账号密码错误。不会再提示用户账户不存在,或是密码错误了。

  文章内容不错,但可惜不是原创而是翻译的,看起来像是为了发广告而发的水文.

  而且,原文作者很贴心地提供了一键切换的功能,以免那张截图NSFW,但博主没有麻烦一点搬运过来.哎...

  他就可以通过试错知道网站某个真实用户的邮箱.然后发送钓鱼邮件.内容-->

  检测你的账号存在风险,点击链接修改密码.(附带钓鱼链接)

  我是来咬文嚼字的。“所有需要登录的网站,都会提供找回密码的功能,防止用户忘记密码。”一读就感觉怪怪的,“找回密码”功能并不能并不能防止用户忘记密码,而是用户忘记密码的时候能够找回。

  请问一下 那注册时邮箱栏存在的话返回什么呢 返回已存在不是一样可以被利用吗

  正确的做法是,不管用户输入什么邮箱,都向该邮箱发邮件。在邮件里说明,有人尝试重置密码,但是他输入的邮箱不在数据库里面。

  这一条,如果确定该用户不在数据库中,那么继续发送邮件一是浪费,二是容易造成滥用。

  如果提示的话,你可以知道你的朋友是否在AltPorn上注册了(很大可能性是他本人注册使用的),这样就算隐私泄漏了吧。白小姐急券风

神算天师论坛| 香港马会历史开奖查询| 六合权威心水论坛| 开奖记录香港马会开奖结果| 赛马会玄机| 彩霸王论坛综合资料精| 二四六老地主免费资料| 香港马会正版挂牌彩图| 跑狗全年公式规律| 生肖表排码表图|