确保 Azure AD B2C 自定义策略中密码重置代码的一次性有效性

在 Azure AD B2C 自定义策略中实施一次性电子邮件验证

使用 Node.js 和 Express 的后端逻辑

const express = require('express');
const router = express.Router();
const bcrypt = require('bcrypt');
const jwt = require('jsonwebtoken');
const User = require('../models/user'); // Assume a User model is defined
const VerificationCode = require('../models/verificationCode'); // Model for storing verification codes

// Endpoint to request a password reset
router.post('/requestReset', async (req, res) => {
  const { email } = req.body;
  const user = await User.findOne({ email });
  if (!user) {
    return res.status(404).send('User not found');
  }
  const code = Math.floor(100000 + Math.random() * 900000); // Generate 6 digit code
  const hashedCode = await bcrypt.hash(code.toString(), 12);
  const verificationEntry = new VerificationCode({ userId: user._id, code: hashedCode, used: false });
  await verificationEntry.save();
  // Send code via email here (implementation depends on email service)
  res.send('Verification code sent');
});

// Endpoint to verify code and reset password
router.post('/resetPassword', async (req, res) => {
  const { email, code, newPassword } = req.body;
  const user = await User.findOne({ email });
  if (!user) {
    return res.status(404).send('User not found');
  }
  const verificationEntry = await VerificationCode.findOne({ userId: user._id, used: false });
  if (!verificationEntry) {
    return res.status(400).send('No verification code found or code already used');
  }
  const validCode = await bcrypt.compare(code, verificationEntry.code);
  if (!validCode) {
    return res.status(400).send('Invalid verification code');
  }
  verificationEntry.used = true;
  await verificationEntry.save();
  user.password = await bcrypt.hash(newPassword, 12); // Hash new password
  await user.save();
  res.send('Password has been reset');
});

有关 Azure AD B2C 中一次性验证码的基本常见问题解答

1. 问题： 什么是重放攻击？一次性代码如何防止重放攻击？
2. 回答： 重放攻击涉及攻击者在目标用户之前拦截并使用验证码。一次性代码通过在首次使用后失效来防止这种情况发生，从而使截获的代码变得毫无用处。
3. 问题： 验证码的有效期应为多久？
4. 回答： 有效期可以有所不同，但一般建议设置较短的生命周期，例如 15 分钟，以平衡安全性和可用性。
5. 问题： 一次性验证码能否提升用户体验？
6. 回答： 是的，通过减少混乱和增强安全性，用户在密码重置过程中遇到问题或感到不安全的可能性较小。
7. 问题： 验证码如何安全存储和管理？
8. 回答： 代码被安全地散列并存储在数据库中，并带有一个标志指示它们是否已被使用，确保它们不能被重复使用。
9. 问题： 如果用户没有在有效期内使用验证码会怎样？
10. 回答： 该代码过期并失效，出于安全原因，需要用户请求新代码。

保护 Azure AD B2C 中的用户身份和访问

最后，在 Azure AD B2C 自定义策略中实施一次性验证码是增强安全性并确保密码重置流程期间无缝用户体验的关键一步。此策略降低了与重复使用验证码相关的风险（例如重放攻击），从而保护用户帐户免受未经授权的访问。该技术解决方案涉及后端编程、安全代码生成和有效的数据库管理的组合，以在代码首次使用后进行监控和使其失效。通过这种方式，组织不仅可以遵守身份和访问管理的最佳实践，还可以增强用户的信心。安全措施和用户便利性之间的平衡是关键，这凸显了持续评估和改进身份验证流程的重要性。最终目标是创建一个安全、用户友好的环境，保护数字身份并为用户提供自信地使用在线服务所需的保证。