密码重置与丢失的电子邮件功能

Question

我已经搜索并查看了关于在网站上实现忘记密码功能的大多数其他问题和答案。

然而，我们有一个独特的情况。当用户注册一个帐户并使用他们公司的电子邮件作为主要电子邮件帐户时，如果他们不再为该公司工作而无法访问该电子邮件帐户，我们如何实现忘记密码方案？

我们目前使用的标准程序发送电子邮件与重置链接到他们的主要电子邮件帐户。大多数没有一个次要的电子邮件地址，我们不希望他们能够输入任何电子邮件地址发送的链接。

是否有一个设计模式或过程，我们可以让用户输入一些信息，并被带到一个页面，他们可以更改电子邮件地址，以发送重置链接？顺便说一下，我们不想使用/存储安全问题。通过我们的web服务，我们可以通过查询他们的帐户记录来查找所提供的信息所提供的人。

这类事情以前是怎么做的？我不知道有任何网站这样做，因为他们中的大多数需要发送电子邮件到用户的帐户。

我想的更多的是，当你查看你的年度信用报告时，Experian，TransUnion和Equifax是如何做到的。他们问你关于你的报告上的帐户的问题，如果你正确的回答，你是认证的。

Answer 1

最终，您需要与客户建立某种秘密，即：

1. 易记
2. 与他们的电子邮件/密码组合无关
3. 非小题大做

由于您已经排除了安全问题(最好是由于第三个原因而不确定)，所以只剩下几个选项。

如前所述，电话号码是个不错的选择。电话号码不会经常变化。很难有人同时更换工作和电话号码。

第二个电子邮件地址与电话号码差不多，因为人们倾向于把他们的个人帐户保存很长时间。考虑让您的当前用户设置一个。

您可以给用户一个密码重置令牌--一个非常长的字符串，脱机保存，只有在需要重置时才能检索。但是，如果用户不费心地保存他们，这是不可能的，这是行不通的。它的使用也很尴尬，不适合现有用户使用。

解决你问题的另一半会更棘手。您只有以下信息：

• 电子邮件(已失效)
• 密码(遗忘)

脑海中浮现的一个解决方案是让公司核实他们的老员工是否拥有已失效的电子邮件地址。然而，这将是一种时间消沉，它依赖于合作(和记录保存)，这两者都不是保证。

正如您所建议的，您可以看到用户是否从帐户中回忆起任何重要的私密信息。这将是一个光荣的安全问题，但我严重怀疑那些忘记了密码的人是否会记住这么多信息。

最后，你是否储存任何付款细节(例如每月付款)？如果是这样的话，您可能可以通过这种方式验证身份。

Answer 2

您可以输入一个电话号码并在那里发送密码恢复消息(就像Microsoft所做的)，或者使用一些只有用户知道的东西(例如，最后一个ivoice的ID )。

Answer 3

作为在线注册过程的一部分，询问他们喜欢的电子邮件地址和个人地址(或备份地址)。重新设置密码时，检查两个帐户的密码，并发送到任何帐户。添加一些类似营销的文本，以达到以下效果：

如果您正在使用您的工作电子邮件地址和离开公司，我们希望确保您可以带您的培训，无论您去哪里。添加您的个人电子邮件地址，以确保您始终可以访问您的培训。

这对现有用户来说不太适用，但我认为这是一种更好的长期方法，而不是让他们尝试找到几个月前传递给他们的随机数字。