为什么重置流程常被跳过
- 你需要一个真实、能收信的收件箱。用虚构地址创建的账号永远收不到重置邮件。
- 密码会丢。重置几次后，没人记得测试账号现在的密码是什么。
- 边界情况最重要。过期链接、重复使用的链接和对不存在地址的重置，正是安全 bug 所在。
Proxy Mail QA 如何帮忙
- 创建一个地址，用它注册，并把密码保存在这个地址上：点击它的行打开详情，在那里用生成测试密码生成一个。
- 在应用中使用忘记密码。邮件一到，该行就会显示重置密码按钮。
- 设置新密码，然后更新保存的密码，让下一个测试人员知道。
- 添加一条备注，比如“重置过两次，MFA 关闭”，让账号的历史记录跟着它走。
密码重置邮件要检查什么
- 已注册的地址能收到邮件，而应用的响应不会透露某个地址是否已注册。
- 链接在写明的时间后过期，并且只能用一次。
- 再次请求重置后，第一个链接会失效。
- 重置页面执行与注册时相同的密码规则。
- 如果你的策略是这样，重置后其他会话会被登出，并随后发送一封“你的密码已更改”邮件。
- 链接打开的是你的真实网站，而不是
localhost（这是为什么会发生）。