单台计算机多Session相互覆盖问题求助

看起来你遇到的核心问题是多个密码重置请求会互相覆盖token，根源在于你直接更新了user表中的forgotToken字段——这个字段是和用户绑定的单值，每次新的重置请求都会覆盖掉之前的token，不管是同一个用户多次请求，还是不同用户同时发起请求，都会导致旧的token失效，看起来像是“会话互相覆盖”。

为什么当前实现会出问题？ #

举个典型场景：

1. 用户A提交重置请求，你把token1存入A的forgotToken字段，同时发邮件给A。
2. 紧接着用户A在另一个会话再次提交重置请求，或者用户B提交重置请求，新的token会直接覆盖数据库中对应用户的旧token。
3. 当第一个会话里的用户尝试用旧token验证时，数据库里已经是新token了，自然验证失败，让你误以为是会话变量被互相覆盖。

正确的解决方案：使用独立的密码重置记录表 #

最合理的做法是创建一个独立的表来存储所有密码重置请求，每个重置请求都有独立的记录，既不会互相覆盖，还能添加过期时间提升安全性。

步骤1：创建密码重置表 #

先执行以下SQL创建专用表：

CREATE TABLE password_resets (
    id INT AUTO_INCREMENT PRIMARY KEY,
    email VARCHAR(255) NOT NULL,
    token VARCHAR(255) NOT NULL,
    created_at DATETIME DEFAULT CURRENT_TIMESTAMP,
    expires_at DATETIME NOT NULL,
    INDEX idx_email (email),
    INDEX idx_token (token)
);

步骤2：修改forgot_submit函数 #

把原来的UPDATE用户表逻辑改为INSERT到重置表，同时设置token的过期时间（比如1小时）：

function forgot_submit(){
    GLOBAL $db;
    if (isset($_GET['forgot']) && $_GET['forgot'] == 'true') {
        $email = $_POST['forgot_password'];
        // 生成更安全的随机token
        $token = bin2hex(random_bytes(10));
        // 设置token过期时间（1小时后）
        $expires_at = date('Y-m-d H:i:s', strtotime('+1 hour'));
        
        // 发送重置邮件
        mail($email, "Password Reset", "To reset you password, please enter this code: $token", "from: noreply@yahbang.com");
        
        // 插入重置记录到专用表，而非更新用户表
        $Query = $db->prepare("INSERT INTO password_resets (email, token, expires_at) VALUES (:email, :token, :expires_at)");
        $Query->bindParam(':email', $email);
        $Query->bindParam(':token', $token);
        $Query->bindParam(':expires_at', $expires_at);
        $Query->execute();
        
        if ($Query) {
            // 用更明确的会话键名，避免和其他业务冲突
            $_SESSION['reset_email'] = $email;
            echo json_encode(['error' => 'success', 'msg' => 'resetPassword.php']);
        }
    }
}
////close forgot submit///////////
forgot_submit();

步骤3：补充token验证逻辑 #

在resetPassword.php中验证token时，需要查询这个专用表，确认token有效、对应正确邮箱且未过期：

// 示例验证逻辑
function verify_reset_token(){
    GLOBAL $db;
    if (isset($_POST['token'], $_SESSION['reset_email'])) {
        $token = $_POST['token'];
        $email = $_SESSION['reset_email'];
        $current_time = date('Y-m-d H:i:s');
        
        $Query = $db->prepare("SELECT * FROM password_resets WHERE email = :email AND token = :token AND expires_at > :current_time");
        $Query->bindParam(':email', $email);
        $Query->bindParam(':token', $token);
        $Query->bindParam(':current_time', $current_time);
        $Query->execute();
        
        if ($Query->rowCount() > 0) {
            // token验证成功，执行密码重置逻辑
            // 重置完成后删除该记录，避免重复使用
            $deleteQuery = $db->prepare("DELETE FROM password_resets WHERE email = :email AND token = :token");
            $deleteQuery->bindParam(':email', $email);
            $deleteQuery->bindParam(':token', $token);
            $deleteQuery->execute();
            
            echo json_encode(['error' => 'success', 'msg' => 'passwordResetSuccess.php']);
        } else {
            echo json_encode(['error' => 'invalid', 'msg' => '无效或过期的验证码']);
        }
    }
}

额外优化建议 #

• token生成更安全：用bin2hex(random_bytes(10))替代str_shuffle，生成的随机数更不可预测。
• 处理重复请求：如果同一用户在token过期前再次请求，可以选择更新现有记录的token和过期时间，避免生成多条无效记录。
• 会话变量隔离：使用$_SESSION['reset_email']而非泛用的$_SESSION['email']，避免和其他业务的会话变量冲突。
• 严格SQL防注入：始终使用参数绑定（如上面代码中的bindParam），不要直接把变量拼进SQL语句。

内容的提问来源于stack exchange，提问作者user9439032