パスワードリセット

パスワードリセットのトークンが推測可能だと、他人になりすまして リセットできてしまう。対策OFFでは時刻由来の短い数値、ONでは暗号論的乱数を使う。

送信メールは ダミー受信箱(Mailpit) で確認。

① 再設定を申請

② コードを入力

対策OFFのトークンは短く規則的なので、受信箱を見なくても総当たりで当てられる。