Passwort zurücksetzen

[Broderik]

HalliHallo,

ich versuche gerade eine "password reset view" zu programmieren.

Folgendermaßen soll es funktionieren:

Benutzer hat sein Passwort vergessen und soll seine E-Mail Adresse eingeben, dann nur noch auf senden drücken.

Mir ist egal, ob ein neues Zufallspasswort zugeschickt wird und für den Benutzer in der DB hinterlegt wird oder ob wir die DB einfach auslesen - das was einfacher ist - aber da Passwörter ja eigentlich nicht im Klartext gespeichert werden sollten...

Wie gehe ich da am besten vor?

Vielen Dank,
Broderik

 

[fischefr]

Was hältst du denn davon:

Du generierst einen zufälligen Schlüssel, den du in der Datenbank speicherst und in einen Link einbettest. Diesen Link verschickst du per Mail. Der Nutzer klickt auf den Link und dieser wird mit dem Wert, der zum Nutzer in der Datenbank gespeichert ist vergleichen. Sind beide gleich, kann er ein neues Passwort auf der Webseite vergeben ohne das alte kennen zu müssen. Nach dem Setzen eines Passworts wird der Wert aus der Datenbank wieder entfernt und der Link führt nur noch zu einer Website mit Warnmeldung, dass ein neues Kennwort durch einen Nutzer gesetzt wurde und dir ggf. im Falle von Missbrauch das gemeldet werden soll.
Die jeweilige Webseite muss natürlich SSL-verschlüsselt sein, sonst ist Sicherheit sowieso ein Fremdwort.