Flask 中如何实现密码重置？

推荐答案

在 Flask 中实现密码重置功能通常包括以下几个步骤：

1. 生成密码重置令牌：使用 itsdangerous 库生成一个带有过期时间的令牌。
2. 发送密码重置邮件：通过电子邮件发送包含重置链接的邮件。
3. 验证令牌并重置密码：用户点击链接后，验证令牌的有效性并允许用户重置密码。

以下是一个简单的实现示例：

// www.javascriptcn.com code example
from flask import Flask, request, render_template, redirect, url_for, flash
from flask_mail import Mail, Message
from itsdangerous import URLSafeTimedSerializer
from werkzeug.security import generate_password_hash, check_password_hash

app = Flask(__name__)
app.config['SECRET_KEY'] = 'your_secret_key'
app.config['MAIL_SERVER'] = 'smtp.example.com'
app.config['MAIL_PORT'] = 587
app.config['MAIL_USE_TLS'] = True
app.config['MAIL_USERNAME'] = 'your_email@example.com'
app.config['MAIL_PASSWORD'] = 'your_email_password'
app.config['MAIL_DEFAULT_SENDER'] = 'your_email@example.com'

mail = Mail(app)
serializer = URLSafeTimedSerializer(app.config['SECRET_KEY'])

# 模拟用户数据库
users = {'user@example.com': {'password': generate_password_hash('password123')}}

@app.route('/forgot_password', methods=['GET', 'POST'])
def forgot_password():
    if request.method == 'POST':
        email = request.form['email']
        if email in users:
            token = serializer.dumps(email, salt='password-reset-salt')
            reset_url = url_for('reset_password', token=token, _external=True)
            msg = Message('Password Reset Request', recipients=[email])
            msg.body = f'To reset your password, visit the following link: {reset_url}'
            mail.send(msg)
            flash('A password reset link has been sent to your email.')
        else:
            flash('Email address not found.')
    return render_template('forgot_password.html')

@app.route('/reset_password/<token>', methods=['GET', 'POST'])
def reset_password(token):
    try:
        email = serializer.loads(token, salt='password-reset-salt', max_age=3600)
    except:
        flash('The password reset link is invalid or has expired.')
        return redirect(url_for('forgot_password'))

    if request.method == 'POST':
        new_password = request.form['password']
        users[email]['password'] = generate_password_hash(new_password)
        flash('Your password has been updated.')
        return redirect(url_for('login'))

    return render_template('reset_password.html', token=token)

if __name__ == '__main__':
    app.run(debug=True)

本题详细解读

1. 生成密码重置令牌

在 Flask 中，可以使用 itsdangerous 库生成一个带有过期时间的令牌。这个令牌通常包含用户的电子邮件地址，并且可以设置一个有效期（例如 1 小时）。令牌生成后，可以通过电子邮件发送给用户。

token = serializer.dumps(email, salt='password-reset-salt')

2. 发送密码重置邮件

使用 Flask-Mail 扩展可以方便地发送电子邮件。在用户请求密码重置时，生成一个包含重置链接的邮件，并将该邮件发送到用户的邮箱。

msg = Message('Password Reset Request', recipients=[email])
msg.body = f'To reset your password, visit the following link: {reset_url}'
mail.send(msg)

3. 验证令牌并重置密码

当用户点击重置链接时，服务器需要验证令牌的有效性。如果令牌有效且未过期，则允许用户重置密码。重置密码时，通常会对新密码进行哈希处理并存储在数据库中。

try:
    email = serializer.loads(token, salt='password-reset-salt', max_age=3600)
except:
    flash('The password reset link is invalid or has expired.')
    return redirect(url_for('forgot_password'))

4. 安全性考虑

• 令牌有效期：令牌应设置一个合理的有效期，以防止长时间未使用的链接被滥用。
• 密码哈希：重置后的密码应使用安全的哈希算法（如 bcrypt 或 pbkdf2）进行存储。
• HTTPS：密码重置链接应通过 HTTPS 发送，以防止中间人攻击。

通过以上步骤，可以在 Flask 中实现一个基本的密码重置功能。