如何手动调用PayloadCMS的forgotPassword函数？添加防邮件轰炸验证

以下是实现带验证码的自定义忘记密码端点的完整方案，直接复用Payload内置的密码重置逻辑，同时添加防邮件轰炸的验证机制：

步骤1：禁用内置忘记密码端点 #

先在Payload配置中禁用默认的忘记密码端点，避免路由冲突：

// payload.config.ts
export default buildConfig({
  // ...其他核心配置
  auth: {
    forgotPassword: {
      // 保留你原有的邮件模板配置
      generateEmailHTML: async ({ req, token, user }: any) => {
        const url = `${process.env.NEXT_PUBLIC_SERVER_URL}/auth/reset-password?token=${token}`
        const email = SendVerifyEmailTemplate({ email: user.email, url })
        const ReactDOMServer = (await import('react-dom/server')).default
        return ReactDOMServer.renderToString(email);
      },
      // 禁用默认端点
      disableEndpoint: true,
    },
  },
});

步骤2：创建自定义验证型忘记密码端点 #

在Payload配置的endpoints数组中添加自定义POST端点，集成验证码验证后再调用内置操作：

// payload.config.ts
import { buildConfig } from 'payload/config';
import { forgotPasswordOperation } from 'payload/operations';
// 导入你的验证码验证工具（示例用reCAPTCHA）
import { verifyRecaptcha } from './utils/recaptcha';

export default buildConfig({
  // ...其他配置
  endpoints: [
    {
      path: '/auth/forgot-password',
      method: 'post',
      handler: async (req, res, payload) => {
        try {
          // 提取请求参数：用户邮箱 + 验证码
          const { email, recaptchaToken } = req.body;

          // 1. 先验证验证码有效性
          const isCaptchaValid = await verifyRecaptcha(recaptchaToken);
          if (!isCaptchaValid) {
            return res.status(400).json({ error: '验证码无效，请重新输入' });
          }

          // 2. 调用Payload内置的密码重置逻辑
          await forgotPasswordOperation({
            req,
            res,
            payload,
            data: { email },
          });

          // 返回统一提示，避免攻击者枚举邮箱存在性
          return res.status(200).json({ message: '若该邮箱已注册，密码重置邮件将发送至您的邮箱' });
        } catch (error) {
          return res.status(500).json({ error: '发送重置邮件失败，请稍后重试' });
        }
      },
    },
  ],
});

示例：验证码验证工具实现（以reCAPTCHA v2为例） #

如果使用Google reCAPTCHA，编写一个简单的验证函数：

// utils/recaptcha.ts
export const verifyRecaptcha = async (token: string): Promise<boolean> => {
  const response = await fetch('https://www.google.com/recaptcha/api/siteverify', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/x-www-form-urlencoded',
    },
    body: `secret=${process.env.RECAPTCHA_SECRET_KEY}&response=${token}`,
  });

  const result = await response.json();
  return result.success;
};

关键注意事项 #

• forgotPasswordOperation会自动复用你在auth配置中定义的generateEmailHTML逻辑，无需重复编写邮件模板
• 无论邮箱是否存在，返回统一提示信息，防止攻击者通过接口响应枚举平台用户邮箱
• 可以替换验证码类型：比如短信验证码、邮箱验证码等，只要在调用内置操作前完成验证即可

内容的提问来源于stack exchange，提问作者Hamilton Munic