找回密码直接发原密码，邮箱拖库用户密码全漏，发改半小时过期的重置链接，再没出过事

新手做密码找回功能，直接把密码发用户邮箱，或者通过问题验证后直接改密码，其实有安全风险，其实密码找回要严谨。第一，找回密码不能直接发原密码，要让用户重置新密码；第二，验证方式用注册的邮箱或者手机验证码，别用简单的密保问题，容易被猜；第三，重置链接半小时过期，别永久有效；第四，重置完把之前的登录会话全失效，别有人用旧会话登。

我之前做密码找回，直接把用户密码发邮箱，邮箱被拖库，用户密码全漏了，之后改成发重置链接，半小时过期，再也没漏过密码。很多新手觉得找回密码很简单，随便发个密码就行，其实风险特别大。