Keycloack -用户未找到重置密码时未显示的消息信息
Keycloak是一个开源的身份和访问管理解决方案，它为应用程序和服务提供了安全的用户身份验证和授权功能。它可以集成到各种应用程序中，包括Web应用程序、移动应用程序和服务端应用程序。
当用户在Keycloak中重置密码时，如果未显示消息信息，可能是由于以下原因：
- 配置错误：检查Keycloak的配置文件，确保正确配置了重置密码时的消息信息。可以通过Keycloak的管理界面或配置文件进行设置。
- 主题定制：如果您使用了自定义的Keycloak主题，可能需要在主题文件中添加相应的消息信息。可以参考Keycloak的主题定制文档进行操作。
- 语言设置：检查用户的语言设置，确保消息信息是针对用户所使用的语言进行显示的。Keycloak支持多种语言，可以根据用户的语言偏好进行本地化显示。
- 错误处理：如果用户未找到重置密码时未显示消息信息，可能是由于Keycloak的错误处理机制导致的。您可以查看Keycloak的日志文件，以了解是否有相关的错误信息。
推荐的腾讯云相关产品：腾讯云身份认证服务（Cloud Authentication Service，CAS），它是腾讯云提供的一种身份认证解决方案，可以帮助企业快速实现用户身份验证和授权管理。CAS支持多种身份验证方式，包括用户名密码、短信验证码、第三方登录等。您可以通过CAS来管理用户的身份认证和访问控制，确保应用程序和服务的安全性。
更多关于腾讯云身份认证服务的信息，请访问：腾讯云身份认证服务
相关·内容
1回答
我使用的是在Kubernetes上运行的keycloak 11.0.2，它是通过舵图部署的。在我的场景中，管理控制台将无法访问，所有用户管理将通过外部SPA页面完成，该页面通过管理api与Keycloak交互。
我想出了如何从头盔图中预加载keycloack中的领域。创建的领域在启动时包含一组角色和一个具有管理权限的用户。
当用户连接到这个SPA时，会显示来自keycloack的登录页面，用户必须登录，如果它的角色是正确的，他可以向我们的领域添加新的用户。
问题是，即使初始用户设置了所需的操作“在第一次登录时更改密码”，当他进行第一次登录时，系统仍然会询问当前密码，但没有设置该密码。
有一种方
浏览 4提问于2020-11-07得票数 1
回答已采纳
在我的keycloak服务器上，当我进入“重置密码”页面，输入了错误的用户名时，返回的消息是“您应该很快就会收到一封包含进一步说明的电子邮件。”但是，我想发送一条类似“用户名未找到”的消息
在控制台日志上我看到了错误"user_not_found“，我不明白为什么我在服务器上看不到同样的东西。
WARN [org.keycloak.events] (default task-31) type=RESET_PASSWORD_ERROR, realmId=XXX, clientId=XXX, userId=XXX, ipAddress=127.0.0.1, error=user_not_f
浏览 0提问于2018-01-19得票数 0
我想用Vuejs重置密码。我设法将重置密码链接与我的自定义url一起发送，当用户点击它时，它会重定向到一个自定义表单。密码重置url为：
<input type="password" v-model="passwordNew" class="" placeholder="New password">
<input type="password" v-model="passwordConfirm"class=""placeholder="Confirm P
浏览 0提问于2017-09-25得票数 2
1回答
重置用户密码后，b2c登录页面不会重定向到更改密码屏幕。它在早些时候起作用了。
重现步骤：
通过azure门户登录重置用户的密码，使用临时密码登录屏幕显示"Your password has expired“。错误消息，而不是重定向到“更新过期密码页面”
浏览 2提问于2021-03-29得票数 1
4回答
net网站，我想实现忘记密码。我正在使用以下步骤
表单有登录Id和电子邮件Id的输入框和CAPTCHA
当用户输入详细信息并提交时，在验证后后端生成新密码，并在数据库中替换旧密码。
新密码是通过电子邮件发送给用户的。
请帮帮我，我做得对不对？
还有其他的安全机制吗？
编辑谢谢，我收到你的回复了。实际上，这是一种安全机制。但我对此毫不怀疑
当用户在被遗忘的密码页面输入loginId和电子邮件地址时，我应该向他显示什么信息？
对于有效用户和恶意用户，消息是否相同？
使用CSRF令牌的优势？任何帮助/链接
当用户点击链接时，我应该做什么；因为我猜用户应该自动登录他
浏览 4提问于2010-01-02得票数 8
回答已采纳
2回答
我试图使用postman在Keycloack中创建一个用户。
通过从密钥库创建访问令牌(master是我的域名)，我将新的用户详细信息发布到。
但它返回一个空白屏幕，并显示404 not found消息。
浏览 1提问于2019-01-31得票数 2
我们正在使用微服务方法构建一个应用程序，我们希望使用keycloack作为我们的身份验证/授权服务。我们的应用程序将需要来自用户的大量个人数据(地址、电话、不同的个人证书、保险等)。我们需要存储这个-可以/应该扩展keycloack来存储所有这些用户数据吗？这种方法的优点/缺点是什么？
如果我们将所有数据保存在keycloack中，那么我们的一些微服务是否可以查询keycloack以获取其他用户的数据？(例如，角色“代理”用户希望签出10个最近的用户及其提交的数据)-或者我们是否应该将最小的数据存储在keycloack中，并为所有用户数据设计一个独立的服务？
浏览 1提问于2019-01-07得票数 10
1回答
我最近一直在考虑一个网站的密码重置流，我正在工作。有一个请求指出，在身份验证之前，用户应该可以选择更改密码，方法是提供：
用户名
当前密码
新密码(匹配复杂度要求)
确认新密码
暂时忽略用户体验，在以下情况下，该流程是否有任何不安全的地方：
如果上述任何字段在提交时无效，则会显示相同的泛型错误消息。
密码锁定是在有效用户名和无效密码提交X次之后执行的。
这是否比登录页面本身更安全，因此没有额外的风险？
浏览 0提问于2019-02-22得票数 2
回答已采纳
1回答
我希望在根目录中运行一个脚本。脚本是/opt/poky/1.6/xx
如果我在Ubuntu14.04中使用sudo -i和我自己的密码作为超级用户登录，我可以使用ls /opt/poky/1.6/看到这个文件。
当我试图在用户模式下使用sudo /opt/poky/1.6/xx运行这个文件时，它会问我一个sudo密码。我使用我的普通机器密码，它会给出消息‘命令未找到’
当我使用sudo -i回到超级用户模式并以/opt/poky/1.6/xx形式运行该文件时，它会给消息‘拒绝’权限。
如果使用cd /opt/poky/1.6/以超级用户模式切换到目录，然后使用vi xx显示文件，则查看该文件没
浏览 0提问于2014-09-17得票数 5
回答已采纳
1回答
标题本身说，我试过禁用插件，切换主题，都会导致错误。我下载了前部密码重置，错误仍然发生。
用户输入用户名/电子邮件以接收重置密码链接，用户收到链接，用户单击链接，然后将用户重定向到一个404“未找到的页面”
请帮帮我！
浏览 0提问于2020-08-12得票数 0
2回答
我正在为我的网站写一个密码重置页面。这是我的想法：
a.用户点击登录页面上的“忘记密码”链接
b.重定向到我的密码重置页面
c.用户输入其电子邮件地址
d.发送到电子邮件地址的电子邮件消息，其中包含重置其密码的链接。链接中有像?code="xxxx“这样的安全代码。
e.用户打开链接并输入新密码，然后单击提交按钮。
f.我的页面更改用户的密码。
我的问题是关于步骤f。在步骤e中，当用户打开链接时，我可以验证他的安全代码，然后向用户显示“新密码”和“确认密码”字段。但是当用户单击submit按钮时，我怎么知道这是用户提交的真实请求，而不是黑客提交的请求？也许我错了，但我认为黑客可以很容易
浏览 4提问于2010-01-09得票数 3
回答已采纳
我正在尝试建立一个桌面应用程序和cli应用程序，将使用keycloack作为后端来管理用户。 我想知道如何在keycloack服务器上执行登录操作。我找到了Keycloak安装的应用程序库，但对于桌面应用程序，它会打开默认的web浏览器，而对于cli，它会要求打开给定的url。 有没有办法在不显示此web浏览器页面的情况下，从自定义swing组件(或读取cli的键盘输入)提供登录和密码？ 我是否必须使用和打开id2.0或saml库之类的东西？
浏览 17提问于2019-09-25得票数 3
回答已采纳
6回答
我负责一个网站，我质疑一些‘行业标准’政策的逻辑，我已被要求遵守。
当用户登录到网站时，他们会收到一条消息，告诉他们登录细节是不正确的，但是我们没有指定是用户名还是密码是不正确的。
如果用户意识到他们忘记了密码(应该使用密码管理器)，他们可以点击忘记的密码链接，输入他们的电子邮件地址，然后按enter键。然后向他们显示一条消息，告诉他们如果他们有一个帐户，帐户已经被锁定，并且密码重置电子邮件已经发送到他们的电子邮件帐户。
到目前为止，没有泄露哪些凭证是不正确的信息，或是否存在一个帐户提供的电子邮件。
为了提高用户的体验，我建议如果用户单击忘记密码链接，如果登录字段可用，我们应该将电子邮件地址复
浏览 0提问于2016-08-05得票数 43
回答已采纳
4回答
在我的Rails项目中，我有不同类型的用户--其中一个有user_status :admin，它与其他用户不同，拥有编辑内容的全部权限。出于明显的原因，我想为这些类型的用户添加额外的安全性，特别是完全禁用密码恢复。
重写标准设计密码恢复(:recoverable设计模块)方法的正确方法是什么，以便当用户试图获得管理员用户(user_status == "admin")的重置密码链接时，系统会返回“标准电子邮件未找到”消息。
这有点像一个未回答的问题：
提前谢谢你。
浏览 18提问于2015-03-09得票数 4
回答已采纳
1回答
我在使用CCTray (1.6.7981版)时遇到了一些身份验证问题。如果我将授权模式指定为"WinLogin身份验证“，则不会列出任何项目&此后不久，我的AD帐户将被锁定。
如果我指定“用户名/密码身份验证”，那么"Available Projects“列表将按预期填充，然后我可以从该列表中选择并监视构建。
然而，后一种授权有几个问题。首先，如果我的pc重新启动，则会针对每个项目显示以下消息：
错误:在服务器上未找到项目'{ Project }‘
其次(也是更重要的)，指定的密码(即我的AD密码)以明文形式显示在cctray settings.xml中(默认位
浏览 4提问于2011-03-14得票数 3
1回答
我有一个简单的登录表单，包括用户名字段(必需)、登录按钮、取消按钮和忘记密码链接。username字段集中在页面加载上。
我使用ngMessages来显示验证错误，在这个简单的示例中，表单的唯一验证规则是用户名。我不想在页面加载上显示验证错误，只有在用户离开用户名字段之后。为此，我将username必需的消息设置为仅在username元素注册后显示。
当用户单击Cancel按钮或忘记密码链接时，我的问题就出现了，用户名所需的验证消息将按预期显示，但是该按钮或链接的单击事件永远不会被触发。这当然是提交按钮的正确行为，但不是针对页面上的每个其他元素(链接/按钮)。
ngMessages似乎不应该决
浏览 3提问于2017-06-14得票数 1
我正在使用图形客户端api在Azure AD B2C中创建新用户。我发送给api的json如下所示：
{
"creationType": "LocalAccount",
"passwordProfile": {
"password": "a:898;keJPpN/69X",
"forceChangePasswordNextLogin": true
},
"passwordPolicies": "DisablePa
浏览 0提问于2019-04-19得票数 9
回答已采纳
嗨，还没能在堆栈溢出或网上找到答案，希望有人有类似的设置经验。
我们有.NET Core3.1用户管理应用程序，它从Windows2016 Active服务器获得用户信息(应用程序访问是通过AD中定义的组进行的)，基本思想是：
启动应用程序>重定向到WSO2 (5.9.0版) IAM登录页
调度到使用有效的AD用户登录(已设置为“用户必须在下一次登录时更改密码”)
WSO2似乎试图进行身份验证，但是登录失败。
Kibana显示这个particualr用户的登录失败消息。
WSO2登录页显示错误消息。
然而，我们期望发生的是重定向返回到.NET核心应用程序，我们
浏览 1提问于2021-02-21得票数 0
4回答
在“忘记我的密码”页面上，当用户没有帐户显示“这个帐户不存在”时，合适吗？或者为了安全起见，即使没有发送电子邮件，我也应该显示一条成功的消息(“您收到了带有重置密码的电子邮件”)吗？
浏览 0提问于2013-07-22得票数 5
回答已采纳
是否可以使用azure b2c自定义策略自定义无效凭据的错误消息？
理想情况下，我们希望为无效凭据显示不同的错误消息，即“对不起，无法识别的用户名或密码。你忘记密码了吗？“这里的整个消息是超链接，它应该重定向到重置密码屏幕。
附注:我们已经使用自定义策略更改了错误消息，但在使用超链接和重定向来重置密码时遇到了困难。
任何洞察力都会有所帮助。
提前感谢
浏览 2提问于2018-08-07得票数 1
我正在使用Microsoft Graph重置用户密码。我可以为domain.onmicrosoft.com用户执行此操作，但不能为本地active directory中的domain.com用户执行此操作。On-Prem在Azure AD Connect上具有最新版本，并且已启用密码写回。在Azure上，已在AAD启用密码重置。当我尝试更新密码或显示名称或任何其他属性时，我收到以下错误
代码: Request_BadRequest消息:无法更新本地主目录同步对象或当前正在迁移的对象的指定属性。
浏览 3提问于2018-12-05得票数 2
2回答
如果用户输入错误密码太多次(默认情况下为5次)，则他们的帐户将被锁定，并显示如下消息：
作为管理员，我需要做什么来重置帐户，以便用户可以再次登录？
浏览 7提问于2015-05-22得票数 1
回答已采纳
我正在使用Laravel5.1和内置的auth功能。但是，在测试时，我注意到当用户填写被遗忘的密码表单时，没有“成功”消息，页面只是刷新，尽管表单确实有效。
如何为遗忘的密码工具设置成功变量？我找不到控制这件事的方法。
谢谢
浏览 1提问于2015-10-22得票数 5
回答已采纳
1回答
密码无效
、
我尝试了推荐的进程，但无法重置密码。不管我输入了什么，结果总是"root@jimmie-z62FM:~#“。我尝试添加或删除空格，有时会得到“命令未找到”。我不会摆弄这个命令输入挫折感。我要重新格式化，从头开始。
我是Linux/Ubuntu的新手(排名，不知情的新手)。将Ubuntu12.04LTS安装在旧笔记本电脑上。安装显然解除了一个旧的(也显然)被遗忘的密码。“密码无效”信息与每一个密钥组合。我使用安装光盘试图获得一个命令行，但我到了“安装(作为超级用户)无线”屏幕，它不响应任何输入。如何访问正确的命令来重置密码？安装时，我从来没有选择过刻录恢复光盘。
浏览 0提问于2015-05-21得票数 0
我使用Azure B2C和本地Azure帐户设置了一个密码重置流，使用用户的电子邮件地址和验证代码。然而，我的客户希望有一个密码重置电子邮件发送给用户根据用户名，而不是电子邮件地址。用户电子邮件将在幕后查找，发送的电子邮件将包括密码重置页面的链接，如下面的流程所示。
在阅读了无数篇关于自定义Azure B2C政策的文章之后，我很难说服自己是否可以按照客户的要求使用Azure B2C。
在下面显示的示例密码重置流程中，我正在努力解决的一些领域包括：
是否可以在密码重置流中创建自定义页面，如步骤4中显示用户屏蔽电子邮件地址的页面，或步骤7中的信息页？
是否有内置的功能来根据用户的用户名查找
浏览 1提问于2019-03-25得票数 3
回答已采纳
7回答
我想知道在网站上创建忘记密码功能的最佳方法是什么。我在这里见过不少，这里有几个或几个组合：
密码问题/回答(1或更多)
用新密码发送电子邮件
屏幕上输入新密码
通过电子邮件确认:必须单击链接才能获得新密码
页面需要用户输入新密码。
您将添加到忘记密码函数中的哪些组合或附加步骤？我想知道他们是如何申请新密码的，以及他们是如何得到新密码的。
我操作的主体是不能检索密码的；必须给出/生成一个新密码。
编辑我喜欢科里所说的如果用户名存在的话不显示，但我想知道该显示什么。我认为一半的问题是，用户忘记了他们使用的电子邮件地址，其中显示某种类型的“不存在”消息是有用的。有什么解决
浏览 10提问于2009-02-07得票数 53
回答已采纳
我们遇到了问题的剖析wordpress插件。
对于登录页面：
当密码不正确时，它会显示:您输入了错误的密码。请重试或点击“忘记密码”，这是正确的行为。但是，当正确的密码被填充时，您将被重定向到/wp-login.php页面，我假设是因为一个错误。
对于丢失的密码页：
当任何用户名被填充(不需要存在)时，就会有一条消息：
发生未知错误。请稍后再试。
而url更改为.../forgot-password/?**errors=anr_error**。
我们不知道是什么原因造成的，有人知道怎么解决吗？
任何帮助都是非常感谢的。
编辑：
显然，当前的用户是从以前的网站使用.csv文件导入的。这个
浏览 1提问于2019-08-02得票数 0
回答已采纳
我正在使用天蓝色b2c为IAM，并在我已配置注册和注册在网站的用户流。在用户流中，我启用了自助服务密码重置，这也有助于使用这个用户流进行忘记密码的旅程。
当我尝试使用未注册的电子邮件地址忘记密码流时，OTP将被发送到该电子邮件地址，并且OTP也将得到验证，但是没有得到消息，而是“找不到所提供的用户ID的帐户”。我正在收到未定义的错误消息。如果我对忘记的密码使用单独的用户流，这是很好的。
浏览 12提问于2022-11-19得票数 0
1回答
我在Azure AD B2C中注册了一个应用程序，当新用户第一次登录时，他会被重定向到附加的屏幕以更新密码。这里的问题是，用户不知道他需要输入什么密码组合，直到并且除非特定的密码组合起作用。我需要自定义此屏幕以显示用户友好的标签，告诉用户他/她需要在此屏幕上输入的密码组合。
浏览 17提问于2020-02-12得票数 0
我有一个项目网站，前端是角8，后端是Springboot Rest。我有一个功能，允许用户重置他们的密码。
当用户启动更改密码时，用户接收带有id和令牌的电子邮件。我的springboot项目发送一封电子邮件，其中包含生成的URL链接：e.g. https://mylocalhost:8080/password/user?id=1111&token=1234335345mcjf
此链接是从后端端生成的。代币只活了30分钟左右。
我的问题是显示标记ID的URL。我的问题是：
我不确定这种方法是否安全，因为令牌被显示为参数。:(
是否可以将令牌和用户Id作为对象传递，而不是作为前端
浏览 0提问于2019-08-06得票数 1
1回答
我在学校学到了如何在计算机科学中使用python创建文件。我已经创建了一段代码，您可以在其中创建用户名和密码，然后将其保存为csv文件。还有另一个选项，您可以在其中登录。它会要求您输入用户名，如果输入错误，则会显示“未找到用户名”。无论我输入什么(即使它是正确的)，它都会显示未找到用户名。这是代码的主要部分： Log = input("Enter Choice here: ")
if Log == "Log In" or Log == "log in" or Log == "Log in" or Log == "log
浏览 9提问于2019-02-28得票数 0
我在通过HTTP元素发送JMeter SOAP请求时遇到了问题--通过SOAPUI，我发送带有以下属性的请求：
但是，当我试图添加这些用户名密码时，我无法收到有效的响应。我尝试过将它放在HTTP头管理器/ HTTP授权管理器中，但是没有成功。我收到任何一个错误：
响应代码: 404响应消息:未找到
将其放置在HTTP授权管理器和
HTTP错误400请求的标题名称无效。
当将用户名和密码放在报头管理器中时(使用wss密码类型字段，而在HTTP授权管理器中没有这样的选项)。
如何才能像在SOAPUI中获得来自服务器的有效响应？
浏览 1提问于2016-09-27得票数 0
回答已采纳
6回答
因此，当你点击忘记密码链接并输入你的电子邮件地址时，网站(和我交谈过的其他程序员)似乎是两种思维方式之一；
通知用户是否与数据库中的电子邮件地址匹配，并基于此通知是否设置了重置密码电子邮件；
立即回复一个“电子邮件发送”或“如果这个用户存在，我们已经向您发送了一个密码重置电子邮件”，无论是否发生或匹配结果的电子邮件发送。这样做(显然)是出于安全考虑。
我自己实现了后者，一般都发现它引起了用户的不满；
如果用户输入错误的电子邮件地址，他们会被告知一封电子邮件被发送，但他们永远不会收到一个。
如果他们输入了与注册地址不同的电子邮件地址，那么他们也不会收到电子邮件。
以上的组合可能导致多次尝试，但没
浏览 0提问于2015-08-29得票数 8
我使用设置Azure广告B2c。在此之后，我到自定义策略使用RBAC。
但我有个问题是:我用邮递员来买令牌
八月网址：
令牌网址：
我在Azure AD B2c中的名言：
这是我在MyWebApp中的身份验证设置
当我注册并获得令牌时，响应中不包含访问内容：
我的风俗政策：
错误是：
在与邮递员进行身份验证时，我无法获得访问令牌
我无法登录，第二次由邮递员登录或在身份体验框架中运行时，消息是“用户名或密码无效。我尝试过在Azure用户中重新设置密码，我得到消息”密码过期“。
浏览 2提问于2022-06-16得票数 0
当用户单击clear form按钮时，我试图清除所有错误信息以及错误突出显示，下面是实际需求
使用Jquery验证验证表单
当用户单击某个字段时，应清除错误消息(每个字段)
单击“重置”按钮时，应清除所有错误。
这是我的密码
$( document ).ready(function(){
var validator = $("#register_form").validate({
validator.resetForm();
focusCleanup: true,
rules: {
// custom rules
},
message
浏览 9提问于2014-02-25得票数 11
3回答
伙计们。我在进行authlogic登录验证时遇到了一个问题。我在用户模型中有一个神奇的“活动”字段，如果活动是假的，当使用正确的密码登录时，它会弹出类似“您被暂停，请联系您的管理人员”的消息(我在I18n文件中定义了这条消息)；当使用错误的密码登录时，它将弹出not_active消息和password_invalid消息，如“密码无效”。我认为这是因为authlogic对“活动”字段和密码都进行了验证，似乎密码验证是第一位的。
我的问题是，如果'active‘为false，如何绕过密码验证。或者，我可以只显示not_active消息吗？我的代码如下：
if @user_session.
浏览 0提问于2011-01-11得票数 2
回答已采纳
3回答
我遇到了一个非常奇怪的问题:大多数用户角色都可以毫无问题地登录(管理员、客户等)。
但是具有“注册用户”角色的用户不能通过表单登录。登录表单没有响应。在日志消息中，未记录失败的登录尝试。
用户(使用角色“注册用户”)登录的唯一方法是通过请求新密码链接登录。因此，用户点击链接，收到一个带有登录链接的电子邮件，当他们点击电子邮件中的链接时，他们就被登录了。因此，他们无法编辑他们的帐户，甚至更改密码。
但是，当他们再次注销并尝试使用新密码登录时，它不再工作，表单不会再次响应。
用户再次登录的唯一方法是通过请求新密码过程。
有人知道是什么导致了这一切吗？
我怀疑这与某种许可有关。我安装的一些模块可能会
浏览 0提问于2015-05-18得票数 2
10回答
如果用户尝试登录时用户名或密码是错误的，那么在登录页面上不显示用户名或密码是非常常见的(我想说这是某种安全基础)。我们应该显示一个通用消息，比如“密码或用户名是错误的”。
原因并不是要向潜在攻击者展示哪些用户名已经被盗用，所以要‘黑’一个现有帐户就更难了。
对我来说听起来很合理，但后来我脑子里出现了一些不同的东西。
当您注册您的帐户，您键入您的用户名。当它已经被采用时，您将得到一条错误消息--这不是通用的！
所以基本上，攻击者可以从注册页面获取“正确的”用户名，或者我错了吗？
那么，与一般消息相比，通用消息有什么意义呢？非泛型消息将导致更好的用户体验。
浏览 0提问于2014-07-07得票数 81
回答已采纳
1回答
我的系统已经知道用户的电子邮件地址了。当用户注册时，他们从allauth获得错误消息：
用户已经用这个电子邮件地址注册了.
当用户看到此消息时，我建议他们重置密码。然而，一旦他们重置他们的密码，allauth触发电子邮件地址确认流，因为ACCOUNT_EMAIL_VERIFICATION = True。
这是不方便和不需要用户也进行电子邮件验证在这一点上。在这种情况下，如何避免电子邮件验证？
浏览 3提问于2021-10-06得票数 1
上下文
我们有一个情况，我们允许我们的用户登录使用用户名和密码+难忘的单词或用户名和密码+回答安全问题取决于客户端的可配置选项。
当用户请求密码重置时，他们会被发送一封电子邮件并链接回密码重置工作流。
我完全理解，安全问题的两个令人难忘的单词和答案充其量都是次优解决方案。
几个问题：
当用户启动密码重置时，是否应该要求他们重新回答他们的安全问题&这也是令人难忘的单词？
考虑到这两个附加步骤(安全问题的答案或令人难忘的单词)实际上都不如用户名和密码安全，那么重新设置它们有什么好处呢？
浏览 0提问于2016-04-22得票数 1
1回答
我想知道以下密码重置机制是否安全：
用户点击‘我忘了我的密码’并输入他的邮件。提交之后，生成一个security_token。此标记由以下组合组成: entered_email +时间戳+一个随机字符串，包含15个真正随机的字节。随机字符串对于每次重置都是不同的。
此安全令牌保存在会话变量中。
如果输入的电子邮件地址存在于数据库中，我们将检索该用户的ID，并将其放入单独的会话变量中。而不是把一封信寄给那个邮差。
邮件包含包含安全令牌的URL。就像https://example.com/reset.php?key=THAT_RANDOM_SECURITY_TOKEN_THAT_IS_ALSO_S
浏览 0提问于2020-07-08得票数 0
回答已采纳
我认为这很简单，我想在密码重置期间显示身份验证密钥。
首先，这样做有什么问题吗？我是不是开了个洞？我控制何时创建用户并发送signup_instructions。我只有大约500个用户。我的系统在许多情况下，一年只使用几次，而且只有一到两个小公司的员工，平均10个员工。我们服务的一些公司不是为员工创建多个帐户，而是共享一个或多个帐户，即我为公司的特定人员创建帐户，然后他们与他们的助理共享密码。我使用电子邮件地址作为身份验证密钥。
你能猜到下一步会发生什么吗？这真的发生了！用户去度假，年轻的助手需要登录，忘记密码，但足够聪明，点击忘记密码，并重新设置，她阅读老板的电子邮件，而老板不在。老板度假回
浏览 5提问于2012-04-03得票数 0
我试图连接到SalesForce web服务并在网页中返回一些数据。我对这类WSDL内容很陌生。所以首先我创建了一个非常简单的控制台应用程序。我只想看看我是否能连接到web服务。效果很好。我看到了我们的桌子并返回了数据。
接下来，我在上使用了优秀的示例代码。将我的web.config设置更改为我的设置，等等。但是，我一直得到以下SOAP错误。
引发的："INVALID_LOGIN:无效的用户名、密码、安全令牌或用户被锁定。“(System.Web.Services.Protocols.SoapException)异常消息= "INVALID_LOGIN:无效的用户名、密码、安全
浏览 4提问于2011-09-15得票数 1
我使用Symfony 2.8与FriendsOfSymfony/FOSUserBundle 2.12版本。
我期待一个特定的登录错误消息，比如如果我输入了错误的用户名，那么我应该得到错误消息“用户名未找到”，如果我提供了错误的密码，那么我应该得到这样的错误消息“密码无效”。
但是，相反，在上述条件下，我得到了相同的错误消息“坏凭据”。
经过进一步研究，我发现Symfony在身份验证方法中将UsernameNotFoundException隐藏在UserAuthenticationProvider.php文件中：
try {
$user = $this->retri
浏览 0提问于2019-02-17得票数 3
回答已采纳
4回答
用户忘记密码，并且(几乎)所有成员网站都需要一种方法来帮助用户重新进入。
我想实现一个常见的场景：
用户点击网站，尝试登录，不能，并意识到他们忘记密码-垃圾！
用户输入电子邮件地址，然后单击“忘记密码”。
用户获得带有密码重置链接的电子邮件。
下面是我计划如何实现这个(C#/ASP.NETMVC)：
当用户输入电子邮件并按下“忘记密码”按钮时，我的站点将生成一个GUID，将其存储在DB (member.ResetToken)中的成员实体上，并在url中用该GUID发送一个链接(发送的电子邮件将通知他们只能使用此链接一次)。
用户单击该链接，我的网站将根据该membe
浏览 4提问于2013-10-09得票数 12
1回答
我是在一个会员网站上工作，并使用限制内容专业，我需要允许创建学生访问用户。该用户将只有一个用户名和密码，因此出于隐私原因，数据库中将没有标识数据。
我已经想出了一个解决方案，隐藏电子邮件输入字段，并使用用户名创建一个电子邮件地址，将我的域名附加到它上。用户从来没有看到电子邮件地址，它没有被用于任何东西(丢失的密码不起作用)。电子邮件本质上与用户名相同，并且满足了插件对电子邮件地址的要求。
我将用户名输入限制在字母和数字上，并修改了一条错误消息，该错误消息表明电子邮件已经在使用中，而用户名正在使用。
这一切似乎都奏效了。
我的问题是，这主意有多糟糕？我错过了什么重要的东西吗？
谢谢
浏览 0提问于2020-04-24得票数 0
红帽企业Linux6.10在VMWare虚拟机中。我们定义了几个用户帐户。一个用户帐户(user3)无法通过SSH或VMWare控制台登录。它过去曾经登录过，但是在过去的两天里，它一直无法登录。其他用户帐户可以登录，没有任何问题。
用户的帐户列在/etc/passwd和/etc/阴影中，并且没有被锁定。我们创建了一个新用户，该用户登录时没有任何问题。etc/passwd条目显示有效的shell路径(/bin/bash)。
我们删除了user3并重新创建了帐户。它还是不能登录。任何其他名称的新帐户(usr3、user33等)可以登录。名为user3的帐户无法登录。
如果一个新帐户获得了user3
浏览 0提问于2018-09-25得票数 2
3回答
我一直试图回答以下问题，但似乎找不到一个明确的答案.
当用户忘记密码后重新设置密码时，是否应该允许他们将密码更改为已设置的密码？
我知道，用户重置密码的全部原因是他们忘记了密码，但从安全性的角度来看，让他们换个不同的密码不是有意义的吗？在忘记密码备忘单和认证备忘单中，我找不到任何关于重用旧密码的地方。
如果应该使用此规则，这是否是正确的错误消息？
密码必须与现有密码不同。
浏览 0提问于2017-09-22得票数 6
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
云直播活动推荐
腾讯云开发者
