忘记密码功能 - 找回和邮寄 - symfony2

Question

我想实现忘记密码功能。我不想更改密码。相反，我只是想将密码邮寄到提供的电子邮件地址。

但我怎样才能获得解码后的密码并将其邮寄到电子邮件地址？

到目前为止，我从 SO 和其他链接中得到的只是密码更改过程。我不想要那个。我找不到任何关于此的示例。我正在使用以下编码器：

algorithm:        sha512
encode_as_base64: true
iterations:       1

请帮忙...

Answer 1

简短的回答：你不能，这是一件非常好的事情。

哈希 仅应用单向转换以保护原始密码。这是为了在安全漏洞的情况下保护密码的安全性（需要进行计算成本高的操作才能找到哈希冲突）。这是哈希的数学属性（sha512 是一种哈希算法），无法反驳。

事实上，安全审核员经常验证网站的重置密码功能不会返回他们设置的原始密码。

允许 Symfony2 这样做的唯一方法是创建自己的编码器。 However, not hashing your user's password would be a glaring security risk.

我还建议您增加用于散列密码的迭代次数（以加强散列）和/或切换到bcrypt。快速散列是坏散列。