Как правильно реализовать подтверждение учетной записи и восстановление пароля?

Question

[Alexander]

Нужно сделать подтверждение учетной записи по Email и восстановление пароля. В обоих случаях нужно сформировать ссылку, отправить ее на почту юзера и при переходе юзера по ссылке определить кто это. Есть мысль добавить в ссылку jwt и потом из него вытащить нужные данные. Правильно ли так делать или нужно по другому как-то?

Answer 1

[ThunderCat]

Просто хеш от допустим имени плюс микротайм, пишем хеш в базу и отправляем ссылку с этим хешем как гет параметром. Проверяем что вася пришел с нужным хешем, пускаем васю менять пароль/емэйл.

Comments

[Alexander]

а каким алгоритмом хешировать?

[ThunderCat]

Александр Крымов, не суть важно, вполне достаточно соленого md5 хеша, в случае тяжелой паранойи - возьмите 2 хеша как разные значения гет параметров и шифрованные 2 разными алгоритмами с разной солью и исходными данными. В целом это не важно, так как вы не получаете снова хешключи по исходным данным, а используете их как одноразовый пароль.

[Alexander]

ThunderCat, ок, спасибо!