php怎么实现密码找回_php通过邮箱重置密码流程【找回】-php教程-PHP中文网

安全生成 reset_password_token 应使用 random_bytes(32) + bin2hex() 得64位十六进制字符串，存入 VARCHAR(128) 唯一索引字段，并严格校验状态、过期时间与用户绑定。

php怎么实现密码找回_php通过邮箱重置密码流程【找回】

直接用 rand() 或 uniqid() 生成重置令牌是危险的——它们不具备密码学安全性，容易被预测或暴力穷举。必须用 PHP 原生的 random_bytes()（PHP 7+）或 openssl_random_pseudo_bytes()（PHP 5.6+）。

实操建议：

生成 32 字节随机字节，再用 bin2hex() 转成字符串，得到 64 位十六进制 token，例如：random_bytes(32) → bin2hex()
存入数据库时，字段类型设为 VARCHAR(128)（留余量），并加唯一索引，防重复插入
务必设置过期时间（如 1 小时），不要只靠前端隐藏链接，后端校验必须检查 created_at 和 expires_at
生成后立即把旧 token 失效（UPDATE WHERE user_id = ? AND status = 'pending'），避免一个用户多个有效链接

mail() 在 Linux 上常因未配置本地 MTA（如 sendmail/postfix）而静默失败；在 Windows 上基本不可用。但引入完整 SMTP 库（如 PHPMailer）对轻量项目又显得臃肿。

实操建议：

先确认 mail() 是否真可用：运行 php -r "var_dump(mail('test@example.com', 'test', 'body'));"，看返回值和系统日志（/var/log/mail.log）
若不可用，优先用 sendmail 命令行代理：在 php.ini 中设 sendmail_path = "/usr/sbin/sendmail -t -i"，确保 sendmail 已安装且可执行
避免在代码里拼接邮件头（易被注入），改用 mb_send_mail()（支持 UTF-8）或至少严格过滤 $_POST['email'] —— 必须用 filter_var($email, FILTER_VALIDATE_EMAIL) 校验，且不能放行注释符号（//、/*）和换行符（\r、\n）

常见错误是只查 token 存在，却忽略状态、过期、绑定用户是否匹配。攻击者可能复用旧链接、篡改 URL 参数、或用别人 token 碰运气。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

实操建议：

查询必须是一次性原子操作：SELECT id, user_id, expires_at FROM password_resets WHERE token = ? AND status = 'active'，查到后立刻 UPDATE ... SET status = 'used'
验证 expires_at > NOW() 必须在 SQL 层完成，别取出来再用 PHP 判断（时区不一致会出错）
重置页表单提交时，再次校验该 token 是否仍为 used 状态 —— 防止页面打开后被他人抢先提交
不要把 user_id 放在 URL 或隐藏字段里传，全部通过 token 关联查询得出；重置成功后，清除该用户所有活跃 session（删 session 表中对应 user_id 的记录）

不是哈希没生效，而是开发者常忘了：重置流程中，新密码必须走完整哈希流程，而不是直接 UPDATE 到数据库；或者误用了 password_verify() 去“验证新密码”，而它只用于登录时比对。

实操建议：

重置密码时，调用 password_hash($new_password, PASSWORD_ARGON2ID)（PHP 7.2+ 推荐）或 PASSWORD_DEFAULT，绝不用 md5()、sha1() 或明文存储
更新密码字段前，确认数据库字段长度 ≥ 255（PASSWORD_ARGON2ID 输出约 96 字符，PASSWORD_BCRYPT 约 60 字符）
如果老系统还在用 mysql_real_escape_string() 或手动拼 SQL，立刻换成 PDO 预处理 —— password_hash() 输出含 $ 和 /，拼 SQL 极易截断或报错