“ ลืมรหัสผ่าน” - จะจัดการได้อย่างไร

ฉันอ่านคำตอบนี้และพบว่ามีความคิดเห็นยืนยันที่จะไม่ส่งรหัสผ่านทางอีเมล:

รหัสผ่านไม่สามารถเรียกคืนได้ทางอีเมลฉันเกลียดที่ หมายความว่ารหัสผ่านของฉันถูกเก็บไว้ในรูปแบบข้อความธรรมดา ควรรีเซ็ตเท่านั้น

นี่ทำให้ฉันมีคำถามเรื่องการจัดการตัวเลือกลืมรหัสผ่าน?

รหัสผ่านแบบดิบจะต้องแสดงใน UI ใด ๆ เพื่อให้ผู้ใช้สามารถอ่านได้ ดังนั้นสิ่งที่จะเป็นวิธีในการจัดการ "ลืมรหัสผ่าน"

การออกแบบแอปพลิเคชันที่ดีจะไม่สามารถกู้คืนรหัสผ่านผู้ใช้ได้อย่างชัดเจน นี่เป็นเพราะมันมักจะถูกเก็บไว้หลังจากที่มันถูกเรียกใช้ผ่านแฮชบางประเภทซึ่งเป็นการทำงานแบบทางเดียว

วิธีที่ดีที่สุดในการจัดการรหัสผ่านที่หายไปคือทำการรีเซ็ตอีเมลไปยังบัญชีผู้ใช้ลิงก์พร้อมพารามิเตอร์ที่สร้างขึ้นซึ่งระบุว่าเป็นการรีเซ็ตรหัสผ่านที่ถูกต้องสำหรับบัญชีที่เป็นปัญหา ณ จุดนี้พวกเขาสามารถตั้งรหัสผ่านใหม่

สิ่งนี้ถือว่าคุณมีที่อยู่อีเมลของผู้ใช้ในไฟล์

คุณไม่ควรเก็บรหัสผ่านหลักของผู้ใช้เป็นข้อความธรรมดา แต่คุณสามารถเก็บรหัสผ่านชั่วคราวเป็นข้อความธรรมดาได้เช่น

ผู้ใช้รีเซ็ตรหัสผ่าน -> สร้างรหัสผ่านชั่วคราว -> ส่งรหัสผ่านชั่วคราวทางอีเมล -> ผู้ใช้ถูกบังคับให้เปลี่ยนรหัสผ่านเมื่อเข้าสู่ระบบครั้งต่อไป (รหัสผ่านใหม่อาจเป็นรหัสผ่านชั่วคราวไม่ได้)

ความคิดเห็นนั้นเป็นการต่อต้านการส่งรหัสผ่านดั้งเดิมในอีเมลไม่ใช่การส่งอะไรในอีเมล หากสถาบันสามารถส่งรหัสผ่านดั้งเดิมได้นั่นหมายความว่าพวกเขามีและนั่นเป็นปัญหาด้านความปลอดภัย ผู้แสดงความคิดเห็นไม่ได้โต้เถียงกับการส่งรหัสผ่านทางอีเมลเพราะเป็นเรื่องที่จำเป็นมากในเกือบทุกกรณี

วิธีที่เหมาะสมคือการกำหนดรหัสผ่านใหม่ที่สามารถใช้งานได้เพียงครั้งเดียวไม่ว่าด้วยเหตุผลใดก็ตาม บางทีมันอาจถูกทำเครื่องหมายไว้แล้วโดยระบบบางทีมันอาจเป็นเพียงการเข้าสู่ระบบหน้าเพื่อเปลี่ยนรหัสผ่านที่สร้างขึ้นแบบไดนามิกครั้งเดียวและครั้งเดียวอะไรก็ตาม

สิ่งที่ฉันชอบที่สุดคือแอปพลิเคชันในการส่งอีเมลไปยังผู้ใช้ในที่อยู่อีเมลที่ลงทะเบียนพร้อมลิงก์ครั้งเดียวที่ถูกต้องสำหรับ X ชั่วโมงซึ่งมีหน้า "เปลี่ยนรหัสผ่าน"

ผู้ใช้สามารถตั้งรหัสผ่านได้ตามที่ต้องการโดยไม่ต้องใส่รหัสผ่านในอีเมล

ผู้ให้บริการบัตรเครดิตของฉันมีตัวเลือก "ลืมรหัสผ่าน" ที่ถามคำถามเพื่อความปลอดภัย (นี่ไม่ปลอดภัยอย่างมากในตัวเอง แต่ธนาคารจำนวนมากทำ) แล้วสร้างรหัสใหม่และให้ครึ่งหนึ่งบนหน้าจอและอีเมลครึ่งหลัง คุณ. ด้วยวิธีนี้คุณจะไม่สามารถทำลายบัญชีโดยไม่ต้องเข้าถึงทั้งหน้าเว็บและที่อยู่อีเมล

ฉันถามเรื่องนี้เล็กน้อยจากมุมมองการใช้งานได้สักพัก