как лучше всего создать токен сброса в python?

Не уверен, что это лучший способ, но я бы, вероятно, просто сгенерировал UUID4, который можно использовать в URL-адресе для сброса пароля и истечения срока его действия через «n» время.

>>> import uuid
>>> uuid.uuid4().hex
'8c05904f0051419283d1024fc5ce1a59'

Вы можете использовать что-то вроде http://redis.io для хранения этого ключа со значением соответствующего идентификатора пользователя и установить его время жизни. Итак, когда что-то приходит с http://example.com/password-reset/8c05904f0051419283d1024fc5ce1a59, действителен, и если да, то разрешает изменения для установки нового пароля.

Если вам нужен «пин-код проверки», сохраните вместе с токеном небольшой случайный ключ, например:

>>> from string import digits
>>> from random import choice
>>> ''.join(choice(digits) for i in xrange(4))
'2545'

И просьба войти по ссылке сброса.

Самый простой способ — использовать библиотеку ItsDangerous:

Вы можете сериализовать и подписать идентификатор пользователя для отказа от подписки на информационные бюллетени в URL-адресах. Таким образом, вам не нужно генерировать одноразовые токены и хранить их в базе данных. То же самое с любыми активационными ссылками для аккаунтов и тому подобными вещами.

Вы также можете встроить метку времени, чтобы очень легко устанавливать периоды времени без необходимости использования баз данных или очередей. Все это криптографически подписано, поэтому вы можете легко увидеть, не было ли оно подделано.

>>> from itsdangerous import TimestampSigner
>>> s = TimestampSigner('secret-key')
>>> string = s.sign('foo')
>>> s.unsign(string, max_age=5)
Traceback (most recent call last):
  ...
itsdangerous.SignatureExpired: Signature age 15 > 5 seconds

Почему бы просто не использовать jwt в качестве токена для этой цели, также можно установить для него время истечения срока действия, поэтому также можно указать дату истечения срока действия для токена.

1. Сгенерировать токен (JWT), зашифрованный секретным ключом
2. Отправить письмо, содержащее ссылку с токеном в качестве параметра запроса (когда пользователь открывает ссылку, страница может прочитать токен)
3. Проверьте токен перед сохранением нового пароля

Для генерации токенов jwt я использую pyjwt. В приведенном ниже фрагменте кода показано, как это можно сделать со сроком действия 24 часа (1 день) и подписанным секретным ключом:

import jwt
from datetime import datetime, timedelta, timezone

secret = "jwt_secret"
payload = {"exp": datetime.now(timezone.utc) + timedelta(days=1), "id": user_id}
token = jwt.encode(payload, secret, algorithm="HS256")
reset_token = token.decode("utf-8")

Ниже фрагмент кода показывает, как можно установить проверку токена и нового пароля в django. Если срок действия токена истек или он был подделан, он вызовет исключение.

secret = "jwt_secret"
claims = jwt.decode(token, secret, options={"require_exp": True})
# Check if the user exists
user = User.objects.get(id=claims.get("id"))
user.set_password(password)
user.save()