找回密码的功能设计

Posted by ruanyifeng

所有需要登录的网站，都会提供”找回密码”的功能，防止用户忘记密码。

正确设计这个功能，保证安全可靠，并不简单。下面就是安全专家 Troy Hunt 给出的设计指南。

一、如何保存密码

一个网站要想保证密码安全，第一步就是以正确的方法保存密码。一般说来，密码有三种保存方式。

（1）明文保存

“明文保存”就是用户的密码原文不动地写入数据库。这种方式最不安全，极易泄漏，应该严格禁用。

（2）加密保存

“加密保存”就是使用密钥，将密码加密后，以密文保存进数据库。这种方式虽然有一定的安全性，但是终究还是可以用密钥还原密码。因此，还是存在泄漏的可能，也不推荐使用。

（3）哈希保存

“哈希保存”就是对密码使用哈希算法，将哈希值保存进数据库。为了增加随机性，防止彩虹表这一类的工具，计算哈希的时候，每个用户都有一个不一样的盐值（salt），也会同时保存进数据库。

哈希是单向运算，无法还原，所以即使哈希值泄漏，一般来说，也不会暴露用户的原始密码。

第一条规则：密码永远都要哈希保存。

如果密码是哈希保存，用户一旦忘记密码，网站也无法知道原始密码是什么，只能让用户重置密码。

第二条规则：找回密码就是让用户重置密码。

重置密码又有两种做法。有的网站先自动改成一个随机密码，然后再让用户登录后自己改掉。这样做的风险在于，你必须把随机密码告知用户，通过邮件或短信，这个过程中就有可能泄漏。

第三条规则：重置密码的时候，要给出一个链接，让用户到网页上自己修改密码。

重置链接由于是明文传播，而且直接修改密码，所以必须有失效时间。一般来说，可以设成10分钟失效。

重置密码之前，必须知道重置谁的密码。这时需要用户提供，注册时的邮件地址。

第四条规则：重置密码之前，如果用户提供了错误的邮件地址，不要提示他。

这是因为如果提示了，数据库不包含某个邮件地址，就可能像下图那样，泄露用户的隐私，被钓鱼者利用。

正确的做法是，不管用户输入什么邮箱，都向该邮箱发邮件。在邮件里说明，有人尝试重置密码，但是他输入的邮箱不在数据库里面。

如果不是采用邮件地址，而是根据用户名识别用户，就没有办法不提示，某个用户名是否存在。某些人的用户名非常特殊，一旦知道该用户名存在，就几乎可以肯定是该人注册的。

第五条规则：重置密码的时候，识别用户最好依靠邮件地址，而不是用户名。

为了防止机器人攻击，进入重置密码之前，最好加上 CAPTCHA 识别。

此外，还要防止一种情况：张三知道李四的邮箱，然后使用找回密码功能，让系统给李四发出重置密码的邮件。

第六条规则：如果条件允许，重置密码之前，最好请用户回答一些个人问题，或者采用 2FA 验证，比如短信验证码。

最后，不要忘了记录 IP 地址，在邮件里面告诉用户，哪个 IP 地址在申请重置你的密码。