django - Django密码重置中的无效电子邮件

Question

我正在实施 Django Password Reset 以在用户使用 django.contrib.auth.urls 键入他/她的电子邮件 ID 时发送恢复密码链接，这非常有效。

这是来自 Django 文档，

如果提供的电子邮件地址在系统中不存在、用户处于非活动状态或密码不可用，用户仍将被重定向到此视图但不会发送电子邮件。

我的问题是，

如果我添加类似 EmailValidation 的内容来检查用户输入的电子邮件是否存在于数据库中并引发 ValidationError，这会是一个安全问题吗？

标签： djangodjango-authentication

Answer 1

显然，因为它会允许黑客使用蛮力来猜测电子邮件。如果用户的密码强度不够强，他可能会使用暴力破解或猜测来强制登录（如果没有其他安全方法）。我建议在重置页面上也放置一个验证码，以防止机器人进入重置密码页面。