安全生成 reset_password_token 应使用 random_bytes(32) + bin2hex() 得64位十六进制字符串，存入 varchar(128) 唯一索引字段，并严格校验状态、过期时间与用户绑定。
用户点击“忘记密码”后，reset_password_token 怎么生成才安全
直接用 rand() 或 uniqid() 生成重置令牌是危险的——它们不具备密码学安全性，容易被预测或暴力穷举。必须用 PHP 原生的 random_bytes()（PHP 7+）或 openssl_random_pseudo_bytes()（PHP 5.6+）。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 生成 32 字节随机字节，再用
bin2hex()转成字符串，得到 64 位十六进制 token，例如：random_bytes(32)→bin2hex() - 存入数据库时，字段类型设为
VARCHAR(128)（留余量），并加唯一索引，防重复插入 - 务必设置过期时间（如 1 小时），不要只靠前端隐藏链接，后端校验必须检查
created_at和expires_at - 生成后立即把旧 token 失效（UPDATE WHERE user_id = ? AND status = 'pending'），避免一个用户多个有效链接
发邮件时 mail() 失败，但 SMTP 配置又太重，怎么办
mail() 在 Linux 上常因未配置本地 MTA（如 sendmail/postfix）而静默失败；在 Windows 上基本不可用。但引入完整 SMTP 库（如 PHPMailer）对轻量项目又显得臃肿。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 先确认
mail()是否真可用：运行php -r "var_dump(mail('test@example.com', 'test', 'body'));"，看返回值和系统日志（/var/log/mail.log） - 若不可用，优先用
sendmail命令行代理：在php.ini中设sendmail_path = "/usr/sbin/sendmail -t -i"，确保 sendmail 已安装且可执行 - 避免在代码里拼接邮件头（易被注入），改用
mb_send_mail()（支持 UTF-8）或至少严格过滤$_POST['email']—— 必须用filter_var($email, FILTER_VALIDATE_EMAIL)校验，且不能放行注释符号（//、/*）和换行符（\r、\n）
用户访问 /reset?token=xxx 时，怎么验证才不绕过
常见错误是只查 token 存在，却忽略状态、过期、绑定用户是否匹配。攻击者可能复用旧链接、篡改 URL 参数、或用别人 token 碰运气。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 查询必须是一次性原子操作：
SELECT id, user_id, expires_at FROM password_resets WHERE token = ? AND status = 'active'，查到后立刻UPDATE ... SET status = 'used' - 验证
expires_at > NOW()必须在 SQL 层完成，别取出来再用 PHP 判断（时区不一致会出错） - 重置页表单提交时，再次校验该 token 是否仍为
used状态 —— 防止页面打开后被他人抢先提交 - 不要把
user_id放在 URL 或隐藏字段里传，全部通过 token 关联查询得出；重置成功后，清除该用户所有活跃 session（删session表中对应user_id的记录）
password_hash() 重置后，为什么登录还失败
不是哈希没生效，而是开发者常忘了：重置流程中，新密码必须走完整哈希流程，而不是直接 UPDATE 到数据库；或者误用了 password_verify() 去“验证新密码”，而它只用于登录时比对。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 重置密码时，调用
password_hash($new_password, PASSWORD_ARGON2ID)（PHP 7.2+ 推荐）或PASSWORD_DEFAULT，绝不用md5()、sha1()或明文存储 - 更新密码字段前，确认数据库字段长度 ≥ 255（
PASSWORD_ARGON2ID输出约 96 字符，PASSWORD_BCRYPT约 60 字符） - 如果老系统还在用
mysql_real_escape_string()或手动拼 SQL，立刻换成 PDO 预处理 ——password_hash()输出含$和/，拼 SQL 极易截断或报错
最常被跳过的一步：重置成功后，没有清空用户浏览器里的“记住我” Cookie 或服务端 session 缓存。哪怕密码改了，旧 session 还能继续登录，让人误以为重置没生效。
