不要放弃。你可以用来说服你的客户的武器是不可否认性。如果你可以通过任何机制重建用户密码，你就给了他们的客户一个合法的不可抵赖机制，他们可以拒绝任何依赖于该密码的交易，因为供应商无法证明他们没有重建密码并自己完成交易。如果密码被正确地存储为摘要而不是密文，这是不可能的，因此最终客户要么自己执行交易，要么违反了他对密码的注意义务。无论哪种情况，责任完全落在他身上。我处理过的案件中，金额高达数亿美元。不是你想出错的事。

看完这部分后:

在下面的注释中，我指出了这一点 网站主要面向 老年人，智障人士，或者非常 年轻会让人困惑 当他们被要求表演 安全密码恢复程序。 虽然我们觉得这很简单 在这些情况下，一些用户需要的是平淡无奇 任何一个的额外帮助 服务技术人员帮助他们进入 系统或通过电子邮件发送/显示 直接给他们。 在这样的系统中，流失率 从这些人口统计数据来看，可能会步履蹒跚 如果用户不是 考虑到这种程度的准入援助， 所以请回答这样的设置 脑海中。

我想知道这些要求中是否有要求可检索的密码系统。例如: 梅布尔阿姨打电话来说:“你的网络程序坏了，我不知道我的密码。”“好的，”客服无人机说，“让我检查一些细节，然后我会给你一个新密码。当你下次登录时，它会询问你是想保留这个密码，还是把它改成更容易记住的密码。”

然后系统设置为知道密码重置发生时，并显示“您想保留新密码还是选择一个新密码”的消息。

对于不太懂电脑的人来说，这比被告知旧密码更糟糕吗?虽然客户服务人员可能会搞恶作剧，但数据库本身在被破坏时要安全得多。

在我的建议中评论不好的地方，我会提出一个解决方案，实际上是你最初想要的。

在注册时，在加密和丢失密码之前，通过电子邮件发送明文密码怎么样?我见过很多网站这样做，从用户的电子邮件中获取密码比把密码留在你的服务器/comp上更安全。

想象一下，有人委托建造一座大型建筑——比方说一座酒吧——下面的对话发生了:

建筑师:对于这种规模和容量的建筑，这里、这里和这里都需要安全出口。 客户:不，那太复杂了，维护起来也太贵了，我不想要任何侧门或后门。 建筑师:先生，消防出口不是可有可无的，这是城市消防法规规定的。 客户:我付你钱不是让你争辩的。照我说的做。

建筑师是否会问如何在没有安全出口的情况下合乎道德地建造这栋建筑?

在建筑和工程行业，对话很可能是这样结束的:

建筑师:这栋建筑没有安全出口是建不起来的。你可以去找其他有执照的专业人士，他会告诉你同样的事情。我现在要走了;等你准备好合作了再打给我。

计算机编程可能不是一个有执照的职业，但人们似乎经常想知道为什么我们的职业没有得到与土木或机械工程师同样的尊重——好吧，不用再看了。这些职业，当遇到垃圾(或完全危险的)要求时，会简单地拒绝。他们知道这不是一个借口，“嗯，我尽力了，但他坚持，我必须按他说的做。”他们可能会因此被吊销执照。

我不知道您或您的客户是否是任何上市公司的一部分，但以任何可恢复的形式存储密码都会导致您无法通过几种不同类型的安全审计。问题不在于某些进入数据库的“黑客”要恢复密码有多难。绝大多数安全威胁来自内部。你需要防止的是一些心怀不满的员工拿走所有的密码，然后把它们卖给出价最高的人。使用非对称加密和将私钥存储在单独的数据库中绝对不能防止这种情况;总有人可以访问私人数据库，这是一个严重的安全风险。

没有道德或负责任的方式以可恢复的形式存储密码。时期。

我以实现多因素身份验证系统为生，所以对我来说，很自然地认为可以重置或重构密码，同时暂时少使用一个因素来验证用户，仅用于重置/重新创建工作流。特别是使用otp(一次性密码)作为一些额外的因素，如果建议的工作流的时间窗口很短，则可以降低很大程度的风险。我们为智能手机(大多数用户已经随身携带了一整天)实现了软件OTP生成器，并取得了巨大的成功。在对商业插头的抱怨出现之前，我想说的是，当密码不是用于验证用户身份的唯一因素时，我们可以降低密码易于检索或重置的固有风险。我承认，在网站场景之间的密码重用情况仍然不太好，因为用户会坚持拥有原始密码，因为他/她也想打开其他网站，但你可以尝试以最安全的方式(htpps和谨慎的html外观)提供重建的密码。

在独立服务器上打开一个数据库，并给每个需要此功能的web服务器一个加密的远程连接。 它不必是关系DB，它可以是具有FTP访问权限的文件系统，使用文件夹和文件而不是表和行。 如果可以的话，给web服务器只写权限。

像正常人一样，在网站的数据库中存储不可检索的密码加密(让我们称之为“pass-a”):) 对于每个新用户(或密码更改)，在远程DB中存储密码的普通副本。使用服务器id，用户id和“pass-a”作为这个密码的组合密钥。你甚至可以在密码上使用双向加密，这样晚上睡得更好。

现在，为了让某人同时获得密码和它的上下文(站点id +用户id +“pass-a”)，他必须:

入侵网站的数据库，以获得(“pass-a”，用户id)对或对。 从配置文件中获取网站的id 找到并侵入远程密码数据库。

您可以控制密码检索服务的可访问性(仅将其公开为安全的web服务，每天只允许一定数量的密码检索，手动进行，等等)，甚至为此“特殊安全安排”收取额外费用。 密码检索数据库服务器是相当隐藏的，因为它不提供很多功能，可以更好地保护(你可以定制权限，进程和服务紧密)。

总而言之，你让黑客的工作变得更加困难。在任何一台服务器上出现安全漏洞的几率都是一样的，但是有意义的数据(帐户和密码的匹配)将很难组合起来。