爲什麼我們要讓帳戶激活/密碼重置鏈接在一段時間後過期？

有人忘記了他的密碼並要求重置他的密碼，一封帶有密碼重置鏈接的電子郵件發送給他。

然後他突然記起他的密碼，所以他只是忽略密碼重置電子郵件。但幾天後，他又一次忘了。由於他的郵箱中已經有密碼重置電子郵件，他只需點擊該鏈接即可返回網站重置密碼。

這似乎沒問題，那麼爲什麼我們要讓帳戶激活/密碼重置鏈接在一段時間後過期？

2010-12-23 bobo

這是其中過期（涉及安全和隱私問題）的潛在優勢超過缺點的情況之一（在您的示例中，用戶不必返回並請求其他密碼重置）。除非你有充分的理由*不要*，否則請遵守標準。 – 2010-12-23 04:32:27

如果他們的電子郵件帳戶被盜用會怎麼樣。攻擊者隨後會看到所有這些「密碼重置」鏈接，並通過點擊進一步損害更多帳戶。其中可能會使用真錢或信用卡信息的服務。

2010-12-23 02:48:38 EnabrenTane

如果他的電子郵件帳戶遭到入侵併且攻擊者看到該電子郵件，即使該鏈接不是永久鏈接並且已經過期，他仍然可以訪問該網站並請求密碼重置電子郵件，因此攻擊者仍然可以妥協帳戶。 – bobo 2010-12-23 08:58:56

回答