关于忘记密码下的重置密码的验证用户名是否存在的问题

Question

写到这，一直不明白为什么还要验证用户名是否存在的问题

Answer 1

Geely 2017-05-31 23:53:13

hi同学，这个是这样的哟，如果不验证用户名，那么就会有横向越权的事情发生呢，就是A的密码提示问题和答案你知道，可以修改了B的密码。

• EverL #1

  这里不明白，请讲得明白一些。
  假使我自己是A，我具有修改密码的能力，然后会返回我自己的token，前台传入的数据是username, passwordNew, token，此处不验证用户名有效性怎么就会能够更改B的密码了呢？不是之后还有token的验证逻辑吗？B的token和A的token验证又不会通过。

• 慕用3151283 回复 EverL #2

  同问 。

Answer 2

空度啊 2018-04-01 15:23:32

可是老师，如果我知道B的用户名，通过重置密码接口不照样可以修改，那这个验证用户名的操作不就相当于没用了？