我目前有一个系统，如果用户忘记了密码，他们可以通过单击“忘记密码”链接来重置密码。他们将被带到输入用户名/电子邮件的页面，然后将电子邮件发送给用户，我想知道如何在电子邮件中实现密码重置链接，因此一旦用户单击链接， /她被带到一个允许他们重设密码的页面。
这是我控制器中的代码
public ActionResult ForgotPassword()
{
//verify user id
string UserId = Request.Params ["txtUserName"];
string msg = "";
if (UserId == null)
{
msg = "You Have Entered An Invalid UserId - Try Again";
ViewData["ForgotPassword"] = msg;
return View("ForgotPassword");
}
SqlConnection lsql = null;
lsql = DBFactory.GetInstance().getMyConnection();
String sqlstring = "SELECT * from dbo.[USERS] where USERID = '" + UserId.ToString() + "'";
SqlCommand myCommand = new SqlCommand(sqlstring, lsql);
lsql.Open();
Boolean validUser;
using (SqlDataReader myReader = myCommand.ExecuteReader())
{
validUser = false;
while (myReader.Read())
{
validUser = true;
}
myReader.Close();
}
myCommand.Dispose();
if (!validUser)
{
msg = "You Have Entered An Invalid UserId - Try Again";
ViewData["ForgotPassword"] = msg;
lsql.Close();
return View("ForgotPassword");
}
//run store procedure
using (lsql)
{
SqlCommand cmd = new SqlCommand("Stock_Check_Test.dbo.RESET_PASSWORD", lsql);
cmd.CommandType = CommandType.StoredProcedure;
SqlParameter paramUsername = new SqlParameter("@var1", UserId);
cmd.Parameters.Add(paramUsername);
SqlDataReader rdr = cmd.ExecuteReader();
while (rdr.Read())
{
if (Convert.ToInt32(rdr["RC"]) == 99)
{
msg = "Unable to update password at this time";
ViewData["ForgotPassword"] = msg;
lsql.Close();
return View("ForgotPassword");
}
}
}
msg = "new password sent";
ViewData["ForgotPassword"] = msg;
lsql.Close();
return View("ForgotPassword");
}
这是我当前向用户发送电子邮件的存储过程
ALTER PROCEDURE [dbo].[A_SEND_MAIL]
@var1 varchar (200), -- userid
@var2 varchar (200) -- email address
AS
BEGIN
declare @bodytext varchar(200);
set @bodytext = 'Password Reset for user: ' +@var1 + ' @' + cast (getDate() as varchar) + ' ' ;
EXEC msdb.dbo.sp_send_dbmail
@profile_name='Test',
@recipients=@var2,
@subject='Password Reset',
@body=@bodytext
END
GO
创建具有类似结构的表
create table ResetTickets(
username varchar(200),
tokenHash varbinary(16),
expirationDate datetime,
tokenUsed bit)
然后在您的代码中，当用户单击“重置密码”按钮时，您将生成一个随机令牌，然后在该表中放入一个带有token散列值和DATEADD(day, 1, GETDATE())之类的到期日期的条目，并附加该令牌您通过电子邮件发送给用户的用于密码重置页面的url上的值。
www.example.com/passwordReset?username=Karan&token=ZB71yObR
在密码重置页面上，您使用传入的用户名和令牌，再次对令牌进行哈希处理，然后将其与ResetTickets表进行比较，如果到期日期尚未过去且令牌尚未使用，则采用用户进入允许他们输入新密码的页面。
注意事项：
Rand来生成令牌，两个同时重置的用户将获得相同的令牌（我可以同时重置我的密码和您的密码，然后使用我的令牌重置您的帐户） 。而是使用静态RNGCryptoServiceProvider并从中使用RNGCryptoServiceProvider方法，该类是线程安全的，因此您无需担心使用同一实例的两个线程。GetBytes。在当前代码中，如果我输入用户ID parameterize your queries，它将删除数据库中的所有用户。有关如何解决此问题的更多信息，请参见链接的SO帖子。'; delete dbo.[USERS] --页面仅接受未加密的版本，并且您绝不会在任何地方存储未加密的版本（包括向用户发送的邮件的电子邮件日志）。这样可以防止具有数据库访问权限的攻击者为其他用户创建令牌，读取电子邮件中发送的值，然后自己发送相同的值（并且可能会访问可以执行更多操作的管理员用户）不仅仅是读取值。这里有两种使用HMAC或JWT的替代方法（我认为它们提供了更好，更安全的电子邮件URL）