重置密碼功能的功能（一鍵式，一次使用，24小時，???）

Question

我們正在設置一項功能，以便用戶在無法訪問其帳戶時重置密碼。我們要求提供他們的電子郵件地址（他們用於登錄該網站），向他們發送一封帶有獨特鏈接的電子郵件。

的問題是：

1. 應該鏈接到期的首次點擊或應鏈接首次使用期滿（即，他們成功地重新設置自己的密碼）？
2. 該鏈接是否應具有24小時有效期（或類似情況）？
3. 用戶在點擊該鏈接後是否應該登錄？

Answer 1

1. 鏈接應該到期。如果用戶不知何故最終需要密碼重置指導並希望稍後返回，他們應該能夠。
2. 這就是說重置應該最終到期，48小時？
3. 是的，他們應該在密碼重置後登錄，否則您的用戶在您的網站上執行的操作會有另一個令人沮喪的步驟。

Answer 2

1. 鏈接在密碼更改後應該過期。如果您在第一次點擊時鏈接過期，可能會導致問題。假設我的互聯網連接不好，並且網頁沒有完全加載到我的瀏覽器。我重新加載頁面，並說鏈接已過期。我不會很高興看到這一點。

2. 是的，你應該限制鏈接到合理的時間。 24小時看起來足夠合理。如果您不限制鏈接生存期，首先您必須永久存儲生成的ID，其次，您保持鏈接活躍的時間越長，鏈接將被攻擊者竊取的概率越高，這將導致竊取帳戶。

3. 您應該讓用戶只有在用戶更改他/她的密碼後。如果你只是登錄他們，他們可能會決定他們不必再更改密碼。通過這種方式，他們可以永久登錄到系統中，而無需更改/知道密碼。之後，他們已經成功地重置其密碼