Токен из Math.random: агент так «генерит пароль сброса»

CSPRNG. Не Math.random и не time.

crypto.randomBytes / secrets.token_urlsafe.

Как

Системный CSPRNG. Длина достаточная.

Стоп

uuid как единственный секрет без random.

См. также: безопасность.

Мы используем файлы cookie для того, чтобы предоставить пользователям больше возможностей при посещении сайта. Оставаясь на сайте, Вы соглашаетесь на обработку файлов cookie. Подробнее об условиях использования.