能否强制定期修改密码并通过邮件确认以检测被盗账户？

可以实现这种强制定期修改密码+邮件链接确认改密的机制，而且确实能有效识别爬虫盗用的潜在风险账户，下面是具体的实现思路和要点：

一、强制定期改密码的实现方式 #

• 在用户数据库表中新增password_expiry字段，用于存储当前密码的过期时间
• 用户登录时自动校验该字段，若密码已过期，直接拦截并跳转至专属改密页面，禁止访问其他系统功能
• 可根据业务需求配置过期周期，比如90天，兼顾安全性与用户体验

二、邮件链接确认改密的流程设计 #

• 当系统触发强制改密或用户主动发起改密时，生成一个带过期时间（建议15-30分钟）的唯一token，关联用户ID存入临时表
• 向用户注册邮箱发送包含该token的确认链接，链接指向改密验证页面
• 用户点击链接后，系统校验token的有效性（是否过期、是否匹配对应用户ID），验证通过后才允许设置新密码
• 若账户被盗用，盗用者没有原用户的邮箱权限，无法获取并点击确认链接，改密操作会卡在验证环节，以此暴露风险

三、潜在风险账户的识别逻辑 #

• 监控改密请求的完成状态：若某账户在短时间内多次发起改密请求但始终未完成邮件确认，标记为潜在被盗账户
• 针对这类账户，可触发二次验证（如短信验证码）或临时锁定账户，并通过邮件/短信通知原用户进行核实

注意事项 #

• 避免设置过短的改密周期，过于频繁的强制改密会降低用户体验，甚至导致用户设置简单密码
• 邮件内容需明确标注是系统发起的强制改密请求，附上官方标识，避免被用户误认为钓鱼邮件
• 生成的token要具备足够的随机性，且严格设置过期时间，防止被暴力破解

内容的提问来源于stack exchange，提问作者Alex M