29

Microsoft 正在提出一个名为 ASP.NET Identity 的新成员系统（也是 ASP.NET MVC 5 中的默认值）。我找到了示例项目，但这并没有实现密码重置。

关于密码重置主题刚刚找到这篇文章：使用一个 ASP.NET 身份实现用户确认和密码重置——痛苦或快乐，对我没有帮助，因为不要使用内置的密码恢复。

当我查看选项时，我认为我们需要生成一个重置令牌，我将发送给用户。用户可以使用令牌设置新密码，覆盖旧密码。

我找到了IdentityManager.Passwords.GenerateResetPasswordToken/ IdentityManager.Passwords.GenerateResetPasswordTokenAsync(string tokenId, string userName, validUntilUtc)，但我无法弄清楚tokenId参数的含义。

如何使用 MVC 5.0 在 ASP.NET 中实现密码重置？

4

2 回答 2

9

我明白了：tokenid 是一个自由选择的身份，它标识了一个密码选项。例如，

1.貌似密码恢复过程，第1步 （基于：https ://stackoverflow.com/a/698879/208922 ）

[HttpPost]
[ValidateAntiForgeryToken]
[AllowAnonymous]
//[RecaptchaControlMvc.CaptchaValidator]
public virtual async Task<ActionResult> ResetPassword(
                                              ResetPasswordViewModel rpvm)
{
    string message = null;
    //the token is valid for one day
    var until = DateTime.Now.AddDays(1);
    //We find the user, as the token can not generate the e-mail address, 
    //but the name should be.
    var db = new Context();
    var user = db.Users.SingleOrDefault(x=>x.Email == rpvm.Email);

    var token = new StringBuilder();

    //Prepare a 10-character random text
    using (RNGCryptoServiceProvider 
                        rngCsp = new RNGCryptoServiceProvider())
    {
        var data = new byte[4];
        for (int i = 0; i < 10; i++)
        {
            //filled with an array of random numbers
            rngCsp.GetBytes(data);
            //this is converted into a character from A to Z
            var randomchar = Convert.ToChar(
                                      //produce a random number 
                                      //between 0 and 25
                                      BitConverter.ToUInt32(data, 0) % 26 
                                      //Convert.ToInt32('A')==65
                                      + 65
                             );
            token.Append(randomchar);
        }
    }
    //This will be the password change identifier 
    //that the user will be sent out
    var tokenid = token.ToString();

    if (null!=user)
    {
        //Generating a token
        var result = await IdentityManager
                                .Passwords
                                .GenerateResetPasswordTokenAsync(
                                              tokenid, 
                                              user.UserName, 
                                              until
                           );

        if (result.Success)
        {
            //send the email
            ...
        }
    }
    message = 
        "We have sent a password reset request if the email is verified.";
    return RedirectToAction(
                   MVC.Account.ResetPasswordWithToken(
                               token: string.Empty, 
                               message: message
                   )
           );
}

2 然后当用户输入令牌和新密码时：

[HttpPost]
[ValidateAntiForgeryToken]
[AllowAnonymous]
//[RecaptchaControlMvc.CaptchaValidator]
public virtual async Task<ActionResult> ResetPasswordWithToken(
                                            ResetPasswordWithTokenViewModel 
                                                        rpwtvm
                                        )
{
    if (ModelState.IsValid)
    {
        string message = null;
        //reset the password
        var result = await IdentityManager.Passwords.ResetPasswordAsync(
                                                   rpwtvm.Token, 
                                                   rpwtvm.Password
                           );
        if (result.Success)
        { 
            message = "the password has been reset.";
            return RedirectToAction(
                        MVC.Account.ResetPasswordCompleted(message: message)
                   );
        }
        else
        {
            AddErrors(result);
        }
    }
    return View(MVC.Account.ResetPasswordWithToken(rpwtvm));
}

github上的示例项目的骨架提案，如果有人需要可以测试。发送的电子邮件尚未编写，可能很快会添加。

于 2013-09-26T19:05:38.277 回答
5

似乎很麻烦......上面给出了什么优势：

  1. 用户单击“恢复帐户”链接
  2. 这会在电子邮件中发送日期时间刻度值的 64 字节编码字符串（称为伪散列）
  3. 单击电子邮件中的链接返回到控制器/操作路由
  4. 将电子邮件及其源服务器与伪散列匹配，解密伪散列，验证自发送以来的时间并
  5. 为用户提供一个视图来设置新密码
  6. 使用有效密码，代码会删除旧用户密码并分配新密码。
  7. 一旦完成，无论成功与否，删除伪散列。

使用此流程，您永远不会将密码发送到您的域之外。

任何人，请向我证明这是多么不安全。

于 2014-03-19T13:46:21.397 回答