我应该如何将令牌发送到用户实体内？

Question

好吧，我正在制作一个“忘记密码”控制器，用户在其中发送电子邮件并在他的邮箱中接收一个令牌，该令牌在两个小时内到期，以便他可以使用它来创建一个新密码，但是我的问题是，避免有了这个用户，他已经拥有多个令牌，因此我打算在我的用户实体中创建布尔列列“ isforgotpasswordtoken”，如果这是真的，这意味着已经为该用户生成了一个令牌。我真正的问题是，我该如何将这个布尔人发送到实体中，因为我该如何在实体内部发送这个令牌，这是一个好习惯呢？还是为此创建实体并以某种方式绑定到用户ID是一种最佳实践？

用户实体

import { BeforeInsert, BeforeUpdate, Column, Entity, PrimaryGeneratedColumn } from "typeorm";
import bcrypt from 'bcryptjs';

@Entity('users')
export class User {
    @PrimaryGeneratedColumn('uuid')
    id: string;

    @Column()
    username: string;

    @Column()
    email: string;

    @Column()
    password: string;

    @BeforeInsert()
    @BeforeUpdate()
    hashPassword() {
        this.password = bcrypt.hashSync(this.password, 8);
    }
}

忘记tasswordcontroller

import { Request, Response } from "express";
import { User } from "../entities/User";
import bcrypt from 'bcryptjs';
import { AppDataSource } from "../database/Config";
import jwt from 'jsonwebtoken';

class forgotPasswordController {
    async authenticate(req: Request, res: Response) {
        const { email } = req.body;
        const secret = process.env.JWT_SEC as string;

        try {
            const user = await AppDataSource.manager.findOneBy(User, {
                email: email
            });

            if (!user) {
                return res.status(401).json('Email not registered!');
            };

            const token = jwt.sign({ id: user.id }, secret, {
                expiresIn: process.env.EXPIRES_LOGIN,
            });

            if (!token) {
                return res.status(401).json('Expired token, please try again.')
            }


        } catch (err) {
            return res.status(500).json(err);
        }

    }
}

export default new forgotPasswordController();

Answer 1

您可以使用您的秘密和用户密码哈希签名JWT令牌。
因此，如果用户使用一个令牌之一更改密码，则用户的所有其他令牌都会无效，因为密码哈希更改。
那是因为您无法用新秘密验证旧的JWT。

我的想法将大致实现：

const token = jwt.sign({ id: user.id }, secret + "_" + user.passhash, {
    expiresIn: process.env.EXPIRES_LOGIN,
});

通过这种方式，用户可以通过有效令牌发送多个电子邮件。
但是，在第一次更改密码之后，所有其他令牌都会无效。

重要的是要注意，当用户更改密码时，密码（和密码障碍）必须与上一张密码不同。