关于在asp.net mvc中实现忘记密码功能的一些问题

Question

我想在 asp.net mvc 中实现忘记密码功能，允许用户重置密码，并在这方面有一些问题：

1. 假设在允许用户重置密码之前，我想验证一些额外的内容信息，例如他们的名字和姓氏。默认情况下，此信息不存储在 aspnet_regsql 创建的表中。解决此类问题的建议方法是什么？我应该将此类信息存储在单独的表中，并使用表联接来验证，还是应该修改由 aspnet_regsql 生成的表的架构（如何？）以便我不必使用联接？我需要编写自定义提供程序还是没有必要？

2. 我已经阅读过一些地方，例如这篇帖子，而不是通过电子邮件发送临时密码，另一种方法是通过电子邮件发送一个 URL，单击该 URL 后允许用户更改密码。这是怎么做到的？如何确保 URL 在 1 小时后过期？

Answer 1

我可以针对你提出的问题详细写出几个答案。有太多的细节无法详细介绍，但我会尽力抓住设计网站时牢记的要点。基本上，您可以（并且应该）与会员提供商合作，而不是绕过它。这需要一些工作，但可以使用提供程序和 ASP.NET MVC 完成以下所有操作。

• 避免直接访问成员资格表或执行成员资格存储过程。
  1. 它们的结构和用法在旧版本或新版本中可能有所不同。
  2. 已经建立了提供程序来执行大多数任务。
  3. LINQ 其他框架方法并帮助完成剩下的工作。
• 对于名称等“额外”信息，请使用 ASP.NET 配置文件
• 用户电子邮件地址应该是唯一的。
• 用户应该创建自己的帐户。
  1. 管理员不应直接创建新帐户。
  2. 密码和安全答案应该只有用户知道。
  3. 在激活帐户之前，应发送生成的密钥（以网址形式）以验证给定电子邮件地址的所有权。
• 实施会员提供商已支持的安全问题和答案。
  1. 提供可供选择的好问题。
  2. 不要强迫或信任用户临时想出一个好问题。
  3. 只有知道当前密码才能更改问题/答案。
• 忘记密码
  1. 可以通过正确回答安全问题来重置。
  2. 如果忘记了安全答案或帐户被锁定，可以通过管理操作进行重置。
• 重置密码应该意味着：
  1. 生成的临时密码将发送到帐户上的电子邮件地址。临时手段：
     • 设置标志（配置文件值）以指示用户下次登录后必须设置新密码。
     • 密码在设定的时间后就会过期。
  2. 管理员可以重置密码，但永远不应该知道密码。
     • 必须使用第二个提供程序定义来完成（请参阅 ASP.Net 用户忘记密码问题的答案）
     • 如有必要，应同时解锁帐户。
• 密码或安全答案尝试失败次数过多后锁定帐户。
  1. 失败的尝试已在提供商内进行计数和配置。
  2. 可以选择在足够的时间过后自动解锁帐户。

如果我想到更多，我会扩展这个。

Answer 2

我不知道这是否是推荐的方法，但您可以像您提到的那样创建一个单独的表，然后实现您自己的会员资格提供商。这样，在重置密码时，您就可以实现所需的附加功能。

对于第二部分：
我将生成一个令牌，请在此处了解生成它的各种方法。您可以存储带有日期/时间的令牌，通过电子邮件将链接发送给用户，并将令牌作为 URL 的一部分，然后，一旦用户单击它，您就可以根据经过的时间来检查它。