PHP用户通过电子邮件和旧密码更改其帐户的密码

Question

我在 php 中创建了一个 API，供用户更改他们帐户的密码，但我这样做是为了让他们通过输入电子邮件来更改它，所以我在数据库中找到了他们的列，但出于安全原因，我不这样做'认为这不是一个好主意......所以我想添加它以便它通过电子邮件找到用户然后检查他输入的旧密码是否与数据库中的加密相匹配，所以他的输入将是 1）电子邮件 2）旧通行证 3) 新通行证。我的密码是用 hash + salt 加密的

这是我的 php 文件

<?php
require_once('connection.php');

function forgotPassword($forgotpassword, $newpassword, $salt){
    $result = mysql_query("UPDATE `member` SET `encrypted_password` = '$newpassword',`salt` = '$salt' WHERE `email` = '$forgotpassword'");
    if ($result) {
    return true;
    }
    else
    {
    return false;
    }
}
function hashSSHA($password) {
    $salt = sha1(rand());
    $salt = substr($salt, 0, 10);
    $encrypted = base64_encode(sha1($password . $salt, true) . $salt);
    $hash = array("salt" => $salt, "encrypted" => $encrypted);
    return $hash;
}
function isUserExisted($email) {
    $result = mysql_query("SELECT email from member WHERE email = '$email'");
    $no_of_rows = mysql_num_rows($result);
    if ($no_of_rows > 0) {
        // user existed
        return true;
    } else {
        // user not existed
        return false;
    }
}

$email = $_POST['email'];
$newpassword = $_POST['newpas'];
$hash = hashSSHA($newpassword);
$encrypted_password = $hash["encrypted"]; // encrypted password
$salt = $hash["salt"];
if (isUserExisted($email)) {
        $user = forgotPassword($email, $encrypted_password, $salt);
    if ($user) {
    //pass changed
}
else {
    //error
}
    // user is already existed - error response
}
   else {
    //user not found
}
?>

谁能给我写一个解决方案？因此它会检查数据库中的电子邮件和旧密码。

Answer 1

好的如果用户已经登录并打算更改密码：

假设您有一个Change Password 链接：

当用户点击Change Password链接时：

• 显示Change Password 表单。
• 用户输入Old Password。
• 用户输入New Password和Retype New Password。

用户已经登录，您要么拥有 userId 或 emailAddress，要么您可以从 (user) 表中检索。

所以现在：

• 验证旧密码。
• 确保New Password 和Retype New Password 相同。
• 确保新密码符合您的密码标准。
• 保存新密码一切正常。

现在，如果您的系统允许多个用户登录同一个帐户，明智的做法是自动退出所有这些用户并要求重新登录。

Answer 2

听起来您正在寻找一个简单的密码验证。在您的情况下，它看起来像：

function checkPass ($salt, $password, $storedPass){
  $encrypted = base64_encode(sha1($password . $salt, true) . $salt);
  if($storedPass==$encrypted){
    return TRUE;
  }
  else{
    return FALSE;
  }

当然，您必须先从数据库中挖掘出$salt 的值。

Answer 3

如果我理解正确，您正在寻找 Forgot Password 的解决方案。如果是这种情况，很明显的情况是用户不记得当前密码并想设置一个新密码。

我假设您有一个 Forgot Password 链接，该链接指向一个 Forgot Password 页面，用户在该页面中输入 Email Address 并单击 Next 。

如果您的系统已经存储了秘密问题和答案，您可以在此处添加步骤以检查其中至少一项，否则只需继续：

• 验证Email Address。
• 如果Email Address 存在，请继续。否则向用户显示消息。
• 生成一个（冗长的）Random String。
• 将Random String 保存在该用户的（用户）表中。
• 创建一个Link 并将Email Address 和Random String 放入其中。
• 制作包含Link 的电子邮件并将其发送至Email Address。

现在用户收到电子邮件并点击Link：

• 解析Link得到Email Address和Random String。
• 验证Email Address 和Random String。
• 如果存在Email Address 和Random String 组合，请继续。否则向用户显示消息。
• 显示一个表单供用户输入两次New Password。
• 为用户保存New Password。

现在您可以自动Sign In 用户或显示Sing In 页面让用户使用新凭据登录。