对于Accounts.forgotPassword() 和Accounts.sendVerificationEmail()，会生成一个令牌。
该令牌会过期吗？
如果有，在多长时间后？
【问题讨论】：
verificationToken 有一个创建时间戳，但没有过期时间戳。我知道验证令牌或密码重置令牌只能使用一次。
services.email.verificationTokens.when
标签： javascript meteor meteor-accounts
目前没有与令牌过期相关的内置代码，既没有设置过期时间也没有强制执行。
邮件重置数据（token、email和token创建日期）保存在用户的记录中，可以在the source看到：
var tokenRecord = {
token: token,
email: email,
when: when
};
Meteor.users.update(userId, {$set: {
"services.password.reset": tokenRecord
}});
因此，日期在以下 mongo 选择器中：
'services.password.reset.when'
不幸的是，一旦使用正确的令牌调用 resetPassword 方法，所有 reset 数据都将被取消设置。
这使得 validateLoginAttempt 回调不可用：
Accounts.validateLoginAttempt(function(options) {
if (options.methodName === 'resetPassword' && options.allowed === true) {
console.log('resetPassword', options.user.services.password.reset); //undefined
}
return true;
});
同样，电子邮件验证令牌存储在user.services.email.verificationTokens，它（如果设置）是令牌记录数组。
因此，日期在
中'services.email.verificationTokens.when'
但是，您可以使用此信息很容易地定期使旧令牌失效，或者滚动您自己的本地分叉或帐户密码包装。
【讨论】：
when 因此给出了创建令牌的日期，而不是令牌到期的日期。在爬取代码时，您是否设法找到任何有关自动、可能基于时间的令牌过期的数据？
when thus gives the date at which the token was created, not the one at which it will expire 到期确实由dateNow - token.when <= tokenLiveTime 计算。我正面临类似@MasterAM 的问题，因为我想创建具有不同到期日期的令牌。如果有关于这个主题的任何信息，我很乐意接受建议。但是 afaik MasterAM 指出了仅有的两个解决方案。
在当前版本的 Meteor (1.9) 中，令牌确实会过期，您可以在代码中看到 here（我猜这种情况已经存在很长时间了）。
Reset password tokens expire after 3 days，当enroll tokens expire after 30 days
这两个参数可以使用：
Accounts.config({
passwordResetTokenExpirationInDays : 10,
passwordEnrollTokenExpirationInDays : 60,
})
【讨论】：