Лучшая практика для сброса пароля в ASP.NET MVC

Question

Я ищу, чтобы эмулировать поток сброса пароля с сайта www.live.com. То есть (пропустить вариант электронной почты на данный момент):

1) Экран запрашиваемая/подтверждение имя пользователя,

2) Задать сброс метода (проверка счета или сброс электронной почты)

3) Соберите информацию счета и проверить его

4) Представьте пользователю ввод сброса пароля.

Так что я искал любые советы о том, как это сделать надлежащим образом. Я планировал, чтобы каждый «шаг» возвращался к тому же действию и создавал модель по мере того, как я отправлял (помещение свойств/полей в скрытые входы или регулярные входы на основе того шага, на котором я был). Затем, на шаге 4, я повторно проверил информацию об учетной записи (на всякий случай кто-то попытался взломать и опубликовать сообщение напрямую, чтобы ввести имя пользователя и новый пароль).

Все это будет сделано через SSL, и единственный недостаток, который я вижу, заключается в том, что для шага 4 я бы предоставил секретный ответ пользователя «скрытый ввод», чтобы он мог быть отправлен/подтвержден снова, прежде чем завершать восстановление пароля.

Это правильный способ реализовать этот экран или есть некоторые дыры в безопасности, которые я не вижу?

Answer 1

Я не эксперт в этом, но мне нравится идея в this. Используйте хэш, чтобы идентифицировать пользователя во время шага 4 вместо отправки своего секретного ответа через поездку туда и обратно.