密码重置链接的“延迟执行”实为服务端强制校验令牌30分钟有效期，需在数据库中存储绝对过期时间（如expires_at），验证时用sql直接比对now()，并配合令牌哈希、原子更新used_at及会话失效等安全措施。
PHP本身不提供“延迟执行密码重置”的内置机制，所谓“延迟”，实际是指**控制重置流程的时间窗口**——即让重置链接/令牌在生成后仅在指定时间内（如30分钟）有效，超时则服务端拒绝处理。这不是靠sleep()或定时任务去“等待”，而是通过**令牌有效期校验**实现的逻辑延迟。
核心：用数据库字段控制时效
必须在存储重置令牌的表中增加一个明确的过期时间字段（如 expires_at），类型为 DATETIME 或 TIMESTAMP，并写入绝对时间点（例如 '2026-08-17 14:00:00'）。不能只存创建时间或相对分钟数。
- 生成令牌时，直接计算并写入过期时间：
$expiresAt = (new DateTime())->add(new DateInterval('PT30M'))->format('Y-m-d H:i:s'); - 验证链接时，SQL 查询必须由数据库完成时间比对：
SELECT user_id FROM password_resets WHERE token_hash = ? AND used_at IS NULL AND expires_at > NOW(); - 查到记录后，立即原子化更新
used_at字段，防止重复使用
为什么不能依赖客户端或邮件时效
邮件服务商可能延迟投递，用户可能稍后才打开；前端JS倒计时可被禁用或篡改。真正可靠的延迟控制只能由服务端在每次请求时强制校验。只要数据库里 expires_at 已过，无论链接是否点击、浏览器是否打开，后端都应返回“链接已失效”。
安全增强要点
单纯设过期时间还不够，还需配合以下措施：
- 令牌必须用
random_bytes(32)生成，再经password_hash()存储哈希值，杜绝预测和碰撞 - 重置成功后，立即清空该用户的全部活跃会话（删 session 表或 token 表相关记录）
- 同一邮箱发起新重置请求时，应先作废旧令牌（UPDATE ... SET used_at = NOW() WHERE email = ? AND used_at IS NULL）
- 避免在错误提示中泄露“邮箱不存在”或“令牌已用”，统一返回“链接无效或已过期”
不需要后台定时清理
不必另起 cron 任务定期删除过期记录。实际业务中，过期但未使用的令牌只需留在库中，查询时 WHERE 条件自然过滤掉；若需归档或清理，可每周执行一次低峰期的 DELETE，但非必需。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
