用另一种方法或角度来解决这个问题怎么样?询问为什么密码必须是明文:如果是为了让用户可以检索密码，那么严格地说，您实际上不需要检索他们设置的密码(他们不记得它是什么)，您需要能够为他们提供一个他们可以使用的密码。

想想看:如果用户需要检索密码，那是因为他们忘记了密码。在这种情况下，新密码和旧密码一样有效。但是，目前使用的常用密码重置机制的缺点之一是，在重置操作中生成的密码通常是一堆随机字符，因此用户很难正确地输入它们，除非他们复制-粘贴。对于不太精明的电脑用户来说，这可能是个问题。

解决这个问题的一种方法是提供自动生成的密码，这些密码或多或少是自然语言文本。虽然自然语言字符串可能没有相同长度的随机字符字符串的熵，但没有人说你的自动生成的密码只需要8个(或10个或12个)字符。通过将几个随机单词串在一起来获得一个高熵自动生成的密码短语(在它们之间留出一个空间，以便能够阅读的人仍然可以识别和键入它们)。6个不同长度的随机单词可能比10个随机字符更容易正确输入，而且它们的熵也更高。例如，从大写字母、小写字母、数字和10个标点符号(总共72个有效符号)中随机抽取的10个字符的密码的熵值为61.7比特。使用7776个单词的字典(如Diceware所使用的)，可以随机选择6个单词的密码短语，密码短语的熵将为77.4位。更多信息请参见Diceware FAQ。

一个约77比特熵的密码短语:“承认散文耀斑表敏锐的天赋” 一个约有74位熵的密码:“K:&$R^tt~qkD”

我知道我更喜欢输入短语，使用复制-粘贴，短语也不会比密码更容易使用，所以没有损失。当然，如果你的网站(或任何受保护的资产)不需要77位熵来自动生成密码短语，那就生成更少的单词(我相信你的用户会喜欢的)。

我理解有人的观点，有些受密码保护的资产实际上没有很高的价值，所以密码被泄露可能不是世界末日。例如，我可能不会在意我在各种网站上使用的80%的密码被破解:唯一可能发生的事情就是有人用我的名字发垃圾邮件或发帖。那样不太好，但他们又不会侵入我的银行账户。然而，鉴于许多人在他们的论坛网站上使用的密码与他们的银行账户密码(可能还有国家安全数据库密码)相同，我认为最好将这些“低价值”密码作为不可恢复的密码来处理。

出于道德考虑，您不能为以后的明文检索存储密码。就这么简单。就连乔恩·斯基特(Jon Skeet)也不能在道德上存储密码以供以后的明文检索。如果您的用户可以以某种方式以纯文本检索密码，那么黑客也可能会在您的代码中发现安全漏洞。这不仅仅是一个用户的密码被泄露，而是所有用户的密码都被泄露了。

如果你的客户对此有意见，告诉他们可恢复的存储密码是违法的。无论如何，在英国，《1998年数据保护法》(特别是附表1，第II部分，第9段)要求数据控制者使用适当的技术措施来保证个人数据的安全，除其他外，考虑到如果数据被泄露可能造成的损害——这对于在不同网站之间共享密码的用户来说可能是相当大的。如果他们仍然无法理解这是一个问题，给他们举一些现实世界的例子，比如下面这个。

允许用户恢复登录的最简单方法是通过电子邮件向他们发送一个一次性链接，该链接可以自动登录，并直接将他们带到一个可以选择新密码的页面。创建一个原型，并展示给他们看。

以下是我写的几篇关于这个主题的博客文章:

http://jamesmckay.net/2009/09/if-you-are-saving-passwords-in-clear-text-you-are-probably-breaking-the-law/ http://jamesmckay.net/2008/06/easy-login-recovery-without-compromising-security/

更新:我们现在开始看到针对未能正确保护用户密码的公司的诉讼和起诉。例子:领英(LinkedIn)遭到500万美元的集体诉讼;索尼因PlayStation数据泄露被罚款25万英镑。如果我没记错的话，LinkedIn实际上对用户的密码进行了加密，但它使用的加密技术太弱了，不太有效。

在回答这个问题时，已经有很多关于用户安全问题的讨论，但我想再提一下好处。到目前为止，我还没有看到在系统中存储可恢复密码的合法好处。考虑一下:

通过电子邮件发送密码对用户有好处吗?不。他们从一次性密码重置链接中获益更多，这有望让他们选择一个他们能记住的密码。 在屏幕上显示密码对用户有好处吗?不，原因和上面一样;他们应该选择一个新密码。 让技术支持人员告诉用户密码对用户有好处吗?没有;同样，如果支持人员认为用户的密码请求已经过正确验证，那么为用户提供新密码和更改密码的机会对用户更有利。此外，电话支持比自动密码重置更昂贵，所以该公司也没有受益。

从可恢复的密码中获益的似乎只有那些怀有恶意的人，或者那些需要第三方密码交换的糟糕api的支持者(请永远不要使用这些api !)也许你可以通过如实向客户陈述公司存储可恢复密码没有获得任何好处，只会承担责任来赢得争论。

从这类请求的字里行间，您会发现客户端可能根本不理解，甚至根本不关心密码是如何管理的。他们真正想要的是一个对用户来说并不难的认证系统。所以，除了告诉他们其实他们并不想要可恢复的密码之外，你还应该为他们提供一些让认证过程不那么痛苦的方法，尤其是如果你不需要像银行这样的高安全级别:

允许用户使用他们的电子邮件地址作为用户名。我见过无数用户忘记自己的用户名，但很少有人忘记自己的电子邮件地址。 提供OpenID，让第三方支付用户遗忘的成本。 放宽密码限制。我敢肯定，当一些网站因为“不能使用特殊字符”或“您的密码太长”或“您的密码必须以字母开头”之类无用的要求而不允许您使用首选密码时，我们都非常恼火。此外，如果易用性比密码强度更重要，您甚至可以通过允许更短的密码或不要求混合字符类来放松不愚蠢的要求。随着限制的放松，用户将更有可能使用他们不会忘记的密码。 不要让密码过期。 允许用户重新使用旧密码。 允许用户选择自己的密码重置问题。

但如果你出于某种原因(请告诉我们原因)真的，真的，真的需要一个可恢复的密码，你可以通过给他们一个非密码认证系统来保护用户，以免他们的其他在线帐户受到潜在的威胁。因为人们已经熟悉用户名/密码系统，这是一个行之有效的解决方案，这将是最后的手段，但肯定有很多创造性的替代密码的方法:

让用户选择一个数字引脚，最好不要是4位，最好只在防止暴力尝试的情况下。 让用户选择一个只有他们自己知道的简短答案的问题，这个问题永远不会改变，他们会一直记住，而且他们不介意其他人发现。 让用户输入一个用户名，然后画一个容易记住的形状，并有足够的排列来防止猜测(看看这张G1如何解锁手机的漂亮照片)。 对于一个儿童网站，你可以根据用户名(有点像身份)自动生成一个模糊的生物，并要求用户给这个生物一个秘密的名字。然后他们会被提示输入该生物的秘密名称来登录。

如果您不能拒绝存储可恢复密码的要求，那么您的反对论点如何?

我们可以正确地散列密码并为用户建立一个重置机制，或者我们可以从系统中删除所有个人身份信息。您可以使用电子邮件地址来设置用户偏好，但仅此而已。使用cookie可以自动提取未来访问的偏好，并在一段合理的时间后丢弃数据。

密码策略中经常被忽视的一个选项是是否真的需要密码。如果你的密码策略所做的唯一一件事就是导致客户服务电话，也许你可以摆脱它。

密码遗失/忘记处理:

没有人能够恢复密码。

如果用户忘记了密码，他们至少必须知道自己的用户名或电子邮件地址。 根据请求，在Users表中生成GUID，并向用户的电子邮件地址发送包含GUID作为参数的链接的电子邮件。

链接后面的页面验证参数guid是否真的存在(可能带有一些超时逻辑)，并要求用户输入新密码。

如果您需要热线帮助用户，请向授予模型中添加一些角色，并允许热线角色临时以已识别的用户登录。记录所有此类热线登录。例如，Bugzilla为管理员提供了这样的模拟功能。

看完这部分后:

在下面的注释中，我指出了这一点 网站主要面向 老年人，智障人士，或者非常 年轻会让人困惑 当他们被要求表演 安全密码恢复程序。 虽然我们觉得这很简单 在这些情况下，一些用户需要的是平淡无奇 任何一个的额外帮助 服务技术人员帮助他们进入 系统或通过电子邮件发送/显示 直接给他们。 在这样的系统中，流失率 从这些人口统计数据来看，可能会步履蹒跚 如果用户不是 考虑到这种程度的准入援助， 所以请回答这样的设置 脑海中。

我想知道这些要求中是否有要求可检索的密码系统。例如: 梅布尔阿姨打电话来说:“你的网络程序坏了，我不知道我的密码。”“好的，”客服无人机说，“让我检查一些细节，然后我会给你一个新密码。当你下次登录时，它会询问你是想保留这个密码，还是把它改成更容易记住的密码。”

然后系统设置为知道密码重置发生时，并显示“您想保留新密码还是选择一个新密码”的消息。

对于不太懂电脑的人来说，这比被告知旧密码更糟糕吗?虽然客户服务人员可能会搞恶作剧，但数据库本身在被破坏时要安全得多。

在我的建议中评论不好的地方，我会提出一个解决方案，实际上是你最初想要的。