7

「パスワードを忘れた」機能に使用できる標準のクラス/php スクリプトがあることを願っています。ほぼすべての Web サイトにあるようで、開発時間を短縮したいと考えています。

一般的なアプローチは次のようです。

  1. パスワードを忘れたをクリック
  2. ユーザーは電子メールで「パスワードのリセット」リンクを受け取ります
  3. リンクをクリックすると、「新しいパスワード」「パスワードの再入力」を入力できます
  4. 人生は素晴らしい

ニュアンスを熟考した人が既存のコードを教えてくれることを期待して、ゼロからやりたくありません。これはかなり標準化されているようです。

すべて: いくつかの回答がありましたが、一般的に受け入れられているセキュリティ ガイドラインを満たすかなり標準的なクラスまたは CMS を誰かが推奨できることを願っています。

4

2 に答える 2

11

パスワードのリセットには独自のスクリプトを使用しています。

user_id、ランダム キー、およびパスワードのリセットが開始された時刻を格納するテーブルを作成します。

// query is my own SQLite3 wrapper function which ensures I have a valid database connection then executes the SQL.
// I would imagine small changes will be needed to the SQL for MY SQL.
query("create table reset_password (user_id integer not null default 0, key text not null default '', time integer not null default 0)");
query("create unique index reset_password_user_id on reset_password (user_id)");
query("create index reset_password_key on reset_password (key)");

次に、パスワードをリセットする必要がある場合、次のコードが呼び出されます。

// $user_id must be an integer that matches a valid user's ID.
function reset_password($user_id) {
  query("delete from reset_password where user_id = $user_id");
  $key = substr(base64_encode(crypt('', '')), 0, 32);
  query("insert into reset_password values ($user_id, '$key', " . time() . ")");
  // fetch is my own wrapper function to fetch a row from the query.
  $f = fetch(query("select username from users where id = $user_id"));
  // smtp is my own function, you will probably want to use the php mail function.
  smtp(
    "do-not-reply@example.com", // sender
    $f['username'], // recepient
    "From: The example.com Web Site <do-not-reply@example.com>\r\n" . // email headers
    "To: {$f['username']} <{$f['username']}>\r\n" . // actual email address <put a nice friendly name in here if you have the the information>
    'Subject: Reset Password' . "\r\n" .
    "\r\n" .
    "Hello\r\n" . // email body
    "\r\n" .
    "A request has been made to reset your example.com web site password.\r\n" .
    "\r\n" .
    "To complete the request, click on the following link within 48 hours of the transmision of this email and follow the on screen instructions.\r\n" .
    "\r\n" .
    /// URL is defined as the root of the URL used in the email, in this example it would be "http://example.com/"
    URL . "index.php?page=reset-password&user_id=" . urlencode($user_id) . "&key=" . urlencode($key) . "\r\n" .
    "\r\n" .
    "Kind regards,\r\n" .
    "\r\n" .
    "The example.com Web Site"
  );
}

メール内のリンクをクリックすると、以下を含むページが表示されます。

// form, input_hidden, table, tr, td, label, input_password and input_submit are my own wrappers which return the appropriate HTML with escaped values where required.
echo
  form('reset-password/ok',
    input_hidden('user_id', $_GET['user_id']) .
    input_hidden('key', $_GET['key']) .
    table(
      tr(
        td(label('New Password')) .
        td(input_password('new_password', ''))
      ) .
      tr(
        td(label('Confirm Password')) .
        td(input_password('confirm_password', ''))
      )
    ) .
    input_submit('ok', 'OK')
  );

上記のフォームが送信されると、以下が実行されます。

// The reset_password_message function displays the message to the user.
if (!isset($_POST['user_id'])) {
  reset_password_message('You must enter a user ID. Please try again.');
} else if (!isset($_POST['key'])) {
  reset_password_message('You must enter a key. Please try again.');
} else if (!isset($_POST['new_password']) || !$_POST['new_password']) {
  reset_password_message('You must enter a new password. Please try again');
} else if (!isset($_POST['confirm_password']) || $_POST['new_password'] != $_POST['confirm_password']) {
  reset_password_message('The new password and the confirmation do not match. Please try again.');
} else if (!$f = fetch(query("select time from reset_password where user_id = " . (integer)$_POST['user_id'] . " and key = '" . escape($_POST['key']) . "'"))) {
  reset_password_message('The user ID and key pair are invalid. Please try again.');
} else if ($f['time'] < time() - 60 * 60 * 24 * 2) { // 60 seconds * 60 minutes * 24 hours * 2 days (48 hours as explained in the email sent to the user above).
  reset_password_message('The user ID and key pair have expired. Please try again.');
} else {
  query("update users set password = '" . crypt($_POST['new_password']) . "' where id = " . (integer)$_POST['user_id']);
  reset_password_message('Your password has been reset. Please login.');
}

「自分で作成する」のではなく、このコードを使用してもかまいませんが、完成させるには、いくつかの変更を加えるか、いくつかの関数を追加する必要があります。

于 2008-12-26T21:25:31.063 に答える
0

さまざまなフレームワーク/CMS から盗むことができます。Drupal、コハナなど...

于 2008-12-26T20:26:06.503 に答える