AI / 编程与调试
令牌可预测、永不过期、还能重复用，重置功能就成了后门
密码重置邮件里的链接现在带 [参数形式]。请重新设计：令牌用密码学随机数、服务端只存哈希、有效期 [时长]、一次性使用、与用户和当前密码哈希绑定、重置成功后让所有会话失效。再说明怎么防止有人拿别人的邮箱反复触发发送，以及链接被邮件网关预取时会不会被误用。
中文原文
一次性、短有效期、绑定旧密码哈希，三件套缺一不可。