Estou desenvolvendo uma aplicação, e estou com dúvida na parte de recuperação de senha.
Tenho um método que o usuário insere o email que é cadastrado na aplicação quando o mesmo esquecer a senha. Ex:
public function esqueciSenha($email)
{
self::enviaEmail($email);
...
}
Essa função enviaEmail, gera um token de recuperação de senha, e enviará uma URL para o usuário por email. Ex:
http://aplicacao.com/alterarSenhaPorToken?token=6d352bcc2811a85820d5252df9bb9086&id=1
Na URL gerada, irá ter um formulário para o usuário digitar a nova senha. Pensei em fazer o AJAX pegar o token de alteração de senha, o id do usuário (passados na url) e o novo password, e enviar para o método alterarSenhaPorToken (via POST), que recebe $id, $token e $novaSenha, e irá validar o token e id, e assim alterar a senha do usuário.Ex:
public function alterarSenhaPorToken($id, $token, $novaSenha){
// validação do token
...
self::trocarSenha($id, $novaSenha);
...
}
Minhas dúvidas:
Há problemas em passar o token e o id do usuário pela URL? Em questões de segurança? Caso haja problemas, qual seria a forma mais segura de fazer isso?