如何在Laravel中生成并验证随机临时密码

核心逻辑设计 #

• 生成环节：生成高熵随机字符串作为临时密码，同时记录密码的有效期、绑定的用户标识（如有业务需要）、使用状态，不要明文存储临时密码，必须做哈希处理后落库/缓存
• 验证环节：用户输入待验证密码后，用同样的哈希规则处理输入值，和存储的哈希值做比对，同时校验密码是否在有效期内、是否未被使用

代码示例（Python版，可快速适配其他语言） #

1. 依赖引入 #

仅使用Python标准库即可实现：

import secrets
import hashlib
import time
from typing import Tuple

2. 临时密码生成函数 #

默认生成长度为8位的随机密码，支持自定义长度、有效期，返回明文临时密码（仅返回给用户一次）、存储用的哈希值、过期时间戳：

def generate_temp_password(length: int = 8, expire_seconds: int = 600) -> Tuple[str, str, int]:
    # 用密码学安全的secrets库生成随机串，避免普通随机函数的弱风险问题
    char_pool = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789'
    temp_pwd = ''.join(secrets.choice(char_pool) for _ in range(length))
    # 加盐计算哈希值用于存储，避免彩虹表破解，盐可固定或和用户/场景标识绑定
    salt = 'your_custom_business_salt'
    hashed_pwd = hashlib.sha256(f'{salt}{temp_pwd}'.encode()).hexdigest()
    expire_time = int(time.time()) + expire_seconds
    # 业务侧需将hashed_pwd、expire_time、使用状态和对应的用户/场景关联存储
    return temp_pwd, hashed_pwd, expire_time

3. 临时密码验证函数 #

def verify_temp_password(input_pwd: str, stored_hashed_pwd: str, stored_expire_time: int, is_used: bool) -> bool:
    # 优先校验是否已使用、是否过期
    if is_used or int(time.time()) > stored_expire_time:
        return False
    # 用相同规则计算输入密码的哈希值
    salt = 'your_custom_business_salt'
    input_hashed = hashlib.sha256(f'{salt}{input_pwd}'.encode()).hexdigest()
    # 比对一致则验证通过，业务侧需立即将密码标记为已使用，禁止重复验证
    return input_hashed == stored_hashed_pwd

注意事项 #

• 禁止使用非密码学安全的随机函数生成临时密码，避免被攻击者预测
• 严禁明文存储临时密码，即使存在缓存中也建议存哈希值
• 临时密码有效期建议最长不超过15分钟，验证通过后立即标记失效
• 如果是用户绑定的临时密码，验证时需同时校验用户标识，避免越权使用

内容的提问来源于stack exchange，提问作者Engineer Happy