使用 openssl_random_pseudo_bytes (PHP) 生成随机密码

Question

我在密码重置时使用以下方法为用户生成随机密码

$pass = preg_replace('/=*$/', '', base64_encode(openssl_random_pseudo_bytes(40)));

我想它们对于这个目的来说是足够随机的，对吧？ 上述方法或其他更好的方法有什么风险吗？

Answer 1

该函数应该可以很好地生成随机字符串。

不过，发送密码有一个缺点，即每个看到电子邮件的人都可以登录您的网站。通常，即使在多年之后，这也是可能的，因为用户不会更改密码。另一件事是，每个人都可以重置用户密码，重复这样做对用户来说真的很烦人。

解决此问题的常用方法是，您向用户发送一个包含令牌的链接（可以通过您的函数完成）。您将此令牌的 散列 存储在数据库中。如果用户单击该链接并且包含的​​令牌的哈希值与您的数据库条目匹配，则允许用户自己选择一个新密码。