向会员发送忘记密码的最佳做法

Question

我正在 Umbraco 7.1.7 中为我们的会员区建立登录/注册部分。

我想通过电子邮件以纯文本向用户发送他们的密码。

这个想法是，如果用户忘记了他们的密码，他们可以简单地输入他们的电子邮件地址（这也是他们的用户名）并点击按钮：
现在，我知道 Umbraco 使用 ASP.NET Membership Provider 并散列密码，这很好，但我需要访问纯文本版本才能在电子邮件中发送。

我已更改我的 web.config 以包含以下内容：

<membership defaultProvider="UmbracoMembershipProvider" userIsOnlineTimeWindow="15">
     <providers>
       <clear />
       <add name="UmbracoMembershipProvider" 
            type="Umbraco.Web.Security.Providers.MembersMembershipProvider, Umbraco" 
            minRequiredNonalphanumericCharacters="0" 
            minRequiredPasswordLength="0" 
            useLegacyEncoding="true" 
            enablePasswordRetrieval="true" 
            enablePasswordReset="true" 
            requiresQuestionAndAnswer="false" 
            defaultMemberTypeAlias="Member" 
            passwordFormat="clear" />

而我的 Controller Action 方法如下所示：

// Forgot password logic to send email
[ActionName("MvcMemberForgot")]
public ActionResult MvcMemberForgot(MvcMemberForgotModel model)
{
    string emailaddress = model.Email.ToString();    // The users entered email address.
    var member = Services.MemberService.GetByEmail(emailaddress);

    var sb = new StringBuilder();   // To build the message.
    sb.Append("Here is the password you chose for this email address: ");  
    sb.Append(password);  // I need a password value here...

    // Send the email.  
    library.SendMail("noreply@company.co.uk", emailaddress, "Password", sb.ToString(), true);
    return CurrentUmbracoPage();
}

我可以使用var x = member.RawPasswordValue;返回散列密码，有没有办法获取用户以类似方式注册时输入的密码？

Answer 1

我不会以纯文本形式向人们发送电子邮件，这是非常糟糕的安全做法。我最近处理这个问题的方法是执行以下操作：

• 为成员（标签）添加一个属性，用于存储重置时间戳
• 有一个重置请求表单，通过电子邮件地址验证用户，然后将标签设置为未来 30 分钟的时间戳
• 向会员发送一封电子邮件，其中包含指向另一个表单页面的链接，并传递他们的电子邮件和时间戳
• 在表单上，​​获取电子邮件和时间戳，验证电子邮件是否存在，并且时间戳尚未过期
• 如果他们通过了这些测试，请让他们选择输入并确认一个新密码，然后您将其保存在用户面前（同时清除标签上的时间戳）

我的方法基于此示例代码库中的代码：https://github.com/warrenbuckley/CWS-Umbraco-Standard-Membership，其中包含许多与成员合作的有用示例！