Vorgehen password reset

[stubb]

Folgendes vorgehen hab ich mir überlegt:

• User drückt passwort vergessen button, und kriegt eine Email mit ner URL drin
  • Die URL hat nen token drin, welcher zufällig generiert wurde
  • Es gibt eine passwordResetRequest Model, welches aus dem Token, ner UserID und einem createdAt date besteht (oder kann man das so irgendwie abgreiffen ohne etxra model attribute?)
  • User wird in der DB deaktiviert (ueber ein boolean flag, er kann sich nicht mehr einloggen)
• Der User ruft seine Mail auf und klickt auf den Link, der Token wird überprüft ob er in der DB ist und ob der noch valid ist (Zeit abgelaufen oder nicht)
• Bei validem token weiterleitung auf eine andere page auch mit dynamischer Url zum PW neusetzen
  • dynmischer token, außer gehasht email oder so
• Bei invalidem token ne nachricht schmeißen, das er nochmal pw vergessen klicken soll

[fabiankirstein]

Klingt alles sinnvoll so. Gibt wohl keinen einfacheren Weg. Ein Vorschlag: Kein extra Model, sondern die Felder einfach mit ins User Model!? Also Token plus CreatedAt (Ja muss man manuell setzen!). Und User ist automatisch deaktiviert wenn im Token-Feld was drin ist.