Flutter中不使用Firebase Auth实现邮箱密码重置的方法问询

下面是完整的实现步骤，涵盖后端、前端核心逻辑及安全注意事项：

1. 后端生成密码重置令牌 #

• 用户提交「忘记密码」请求（提供注册邮箱）后，后端先校验该邮箱是否存在于用户数据库
• 生成安全的一次性重置令牌：可以用JWT（设置15-30分钟的短过期时间），或生成32位随机哈希字符串，将令牌、用户ID/邮箱、过期时间关联存储到专门的重置记录表（如password_resets）
• 注意：令牌存储到数据库时需做哈希处理（比如用bcrypt），避免明文泄露风险

2. 发送密码重置邮件 #

• 后端调用邮件发送服务（如SMTP、自建邮件网关），向用户邮箱发送包含重置链接的邮件
• 链接格式示例：https://your-app.com/reset-password?token=xxx&uid=yyy（uid为用户唯一标识，如数据库ID或加密后的邮箱）
• 邮件内容需明确告知用户这是密码重置请求，标注链接有效期，同时提醒若非本人操作可忽略邮件

3. 前端处理重置链接 #

• 用户点击链接后，前端加载密码重置页面，从URL参数中提取token和uid
• 页面提供「新密码」「确认新密码」两个输入框，添加基础校验（如长度≥8位、两次输入一致）
• 用户提交新密码时，前端将token、uid和新密码一起发送至后端接口（建议后端统一处理密码哈希，前端无需提前加密）

4. 后端验证令牌并更新密码 #

• 后端接收请求后，从重置记录表中查找对应记录，完成三项校验：
  • 令牌哈希值是否匹配
  • 令牌是否已过期
  • uid是否与记录中的用户标识一致
• 验证通过后，找到对应用户，将新密码用bcrypt/Argon2等强哈希算法处理后，替换用户表中的旧密码
• 删除该用户的重置令牌记录（防止重复使用），返回密码更新成功的响应

5. 用户登录 #

• 前端收到成功响应后，跳转至登录页面，用户即可使用新密码完成登录

关键安全提示 #

• 所有密码重置相关请求必须走HTTPS，防止令牌和密码被窃听
• 重置令牌过期时间不宜过长，控制在15-30分钟内
• 数据库中绝对不能明文存储用户密码，必须使用强哈希算法
• 重置页面建议添加验证码（如图形验证码），防范批量请求或暴力破解

内容的提问来源于stack exchange，提问作者user2819370