尝试加密用于密码重置功能的随机密钥

Question

当用户通过输入用户名使用忘记密码字段时，我正在尝试加密要存储在用户表中的随机令牌。它还将向更改用户密码页面发送一封带有 URL 的电子邮件。这个 url 将有一个名为“key”的查询字符串参数。

即www.mysite.com/Changepassword?key=xfsdfsdffsdfiughjksdf.

一旦用户点击链接，他们就在这个页面上。我有一个函数可以通过 ResetToken 获取用户。如果它找到一个用户然后继续。

我需要一些建议：

1. 我应该使用什么样的随机令牌/加密技术 确保没有人可以进入 Changepassword 页面并猜到一个密钥 并能够更改用户密码。
2. 我将如何处理使这个关键 URL 友好？

Answer 1

如果您想获得超级安全，使用cryptographically secure random number generator 就可以了。转换为十六进制是确保其 URL 安全的最简单方法：

byte[] bytes = new byte[8];
using (var rng = RandomNumberGenerator.Create())
{
    rng.GetBytes(bytes);
}
string key = string.Join("", bytes.Select(b => b.ToString("X2")));

编辑请记住，电子邮件可能不安全，因此您的邮件有可能（尽管不太可能）在到达收件人之前被恶意第三方拦截。