如何在Flask中实现无需发送真实邮件的找回密码功能？

针对你用Flask开发酒店预订项目时遇到的「虚假邮箱无法发送重置链接」问题，这里提供几个比单一安全问题更可靠的技术方案：

1. 多维度安全凭证验证 #

放弃单一安全问题，改用业务关联的多组验证信息，注册时让用户填写并存储（敏感信息要哈希），找回时需验证至少2项：

• 可收集的验证项示例：
  • 注册时设置的4-6位安全PIN码（类似银行卡PIN，哈希存储）
  • 账户首次创建的预订日期「常用入住人姓名」这类和业务绑定的信息
  • 预留的测试手机号（可以是虚拟但用户能记住的固定号码）
• 核心实现代码片段：

  from werkzeug.security import generate_password_hash, check_password_hash
  from flask_sqlalchemy import SQLAlchemy
  
  db = SQLAlchemy()
  
  class User(db.Model):
      id = db.Column(db.Integer, primary_key=True)
      username = db.Column(db.String(80), unique=True, nullable=False)
      password_hash = db.Column(db.String(120), nullable=False)
      # 哈希存储安全PIN
      security_pin_hash = db.Column(db.String(120), nullable=False)
      # 业务关联信息
      first_booking_date = db.Column(db.Date)
      default_guest_name = db.Column(db.String(100))
  
      def set_security_pin(self, pin):
          self.security_pin_hash = generate_password_hash(pin)
  
      def check_security_pin(self, pin):
          return check_password_hash(self.security_pin_hash, pin)
  

• 找回流程：用户输入用户名 → 系统要求填写「安全PIN+首次预订日期」 → 验证通过后跳转密码重置页面

2. 管理员背书的一次性令牌流程 #

适合学期项目的封闭测试环境（教授/同学使用）：

• 流程：
  1. 用户提交找回申请，系统生成带有效期的加密重置令牌，存储到数据库
  2. 用户通过项目群、线下等方式联系管理员，管理员确认用户身份后，将令牌发送给用户
  3. 用户凭令牌访问专属重置页面，完成密码修改
• 令牌生成与验证代码：

  from itsdangerous import URLSafeTimedSerializer
  from flask import current_app
  from datetime import datetime, timedelta
  
  # 生成重置令牌（有效期1小时）
  def generate_reset_token(user_id):
      serializer = URLSafeTimedSerializer(current_app.config['SECRET_KEY'])
      return serializer.dumps({'user_id': user_id}, salt='password-reset-salt')
  
  # 验证令牌有效性
  def verify_reset_token(token, expiration=3600):
      serializer = URLSafeTimedSerializer(current_app.config['SECRET_KEY'])
      try:
          data = serializer.loads(token, salt='password-reset-salt', max_age=expiration)
      except:
          return None
      return User.query.get(data['user_id'])
  
  # 存储令牌的模型
  class PasswordResetToken(db.Model):
      id = db.Column(db.Integer, primary_key=True)
      user_id = db.Column(db.Integer, db.ForeignKey('user.id'), nullable=False)
      token = db.Column(db.String(200), unique=True, nullable=False)
      expires_at = db.Column(db.DateTime, nullable=False, default=lambda: datetime.now() + timedelta(hours=1))
  

3. 设备绑定简化方案（仅适合测试环境） #

如果是纯测试用账户，可在用户首次登录时绑定「设备标识」（比如浏览器User-Agent+IP的哈希值），找回时验证当前设备是否为绑定设备：

• 实现思路：首次登录时计算设备标识哈希并存入用户表，找回时对比当前设备的标识哈希，匹配则允许直接重置密码
• 注意：此方案安全性较低，仅适合学期项目的测试场景，不适合生产环境

内容的提问来源于stack exchange，提问作者Abhirath R S