重置密码，需要一次性恢复合同

资料门户的重置页面可能很好看，但旧恢复链接仍可继续使用。批准功能前，应约定令牌何时产生、何时失效，以及什么证据代表重置完成；这与登录表单是否易用不同。

官方依据及事实范围

OWASP建议采用安全随机、绑定用户、会过期且单次使用的恢复令牌，避免响应暴露账户是否存在，并在有效令牌前不改账户。 原始参考 · 2026年10月17日读取.

已填写的验收例子

合成教学情景，不是真实客户、平台实测或业务结果。窄屏可横向滚动案例表。

按步骤执行的交付程序

1. 由安全负责人确定有效期、滥用防护、送达渠道及会话处理；本例十五分钟不是OWASP规定时限。
2. 验收记录仅用测试账户及合成令牌代号，测试截止、跨账户、重放和未知邮箱响应，不记录可用令牌。
3. 核对改密码与消耗令牌能安全完成，另按策略核对通知及旧会话处理，不与邮件送达混为一谈。

怎样解释结果

T1只能成功一次，不能等员工删记录才失效。验收依据是状态变化及第二次请求被拒绝，打开“重置完成”页证明得更少。邮件失败不能成为放宽身份核对或公开转发有效链接的理由。

明确的验收终点

获准测试须证明绑定、原子消耗、过期及重置后会话策略；只保留脱敏结果，不能保留令牌秘密。

适用范围及未验证项目

没有重置、发信、收集密码或操作真实账户；本文是供应商任务书，不是完整身份系统或安全认证。

下载已填写的双语验收记录 — 包含本页输入、步骤、预期及边界；是教学资料，不是执行程序。