先分层再改密码
登录失败可能发生在地址、凭证、验证渠道或会话四层。
页面打不开时改密码没有帮助；有明确凭证反馈时再处理账号。
恢复是受限操作
OWASP建议恢复流程避免泄露账号是否存在，并限制恢复凭据用途。
只从已核对的正式页面发起一次恢复，不把代码交给任何说明网站。
验证没有到达
确认绑定渠道、垃圾邮件、设备时间与发送间隔。
不要大量重复请求，也不要在恢复条件不明时注销唯一可信会话。
完成后建立新基准
在可信设备重新登录，检查活动会话并退出不再使用的设备。
记录日期、页面与错误反馈，但不要保存新密码或恢复代码。