与往常一样，身份验证方案的选择主要取决于您需要保护的内容以及您将收到的公众类型。

评论中提到的“我忘记了密码”链接就是一个很好的例子。过去，对于某些不重要的网站，我系统地使用此类链接来打开会话：

1. 点击“我忘记密码”链接
2. 获取允许重置密码的电子邮件，
3. 如果确实需要，请将密码重置为一些长的随机字符串。

通过这种方式，访问该站点的安全性取决于我邮箱的安全性。我没有要记住的密码，而且这个网站数据库中记录的密码是唯一的。

此过程似乎是您在问题中提出的过程的肮脏版本。

关于安全性，只要：

• 身份验证源（电子邮件、电话……）没有受到损害，
• 长期存在的令牌不会受到损害。

对于一个不重要的网站，当这样的认证方案正确实施时，它可能比允许用户使用已经在其他十几个网站上使用的一些愚蠢的密码更安全。

对于处理敏感数据的网站，用户必须有能力证明自己的身份。因此，为了进行正常的身份验证，似乎必须使用只有用户知道的秘密密码。作为密码重置程序或第二因素身份验证，电子邮件/短信的使用应保持例外。

关于可用性，最好将此类身份验证方案保留为可选，因为某些用户可能更喜欢使用密码保险箱或其他类型的密码生成器来处理他们的密码，并且无法像他们那样使用您的身份验证方案（链接提供的只是此类软件的示例）。

无密码系统和密码系统+忘记密码之间的一个区别是会话超时。许多系统作为安全措施会在 X 分钟后自动将您注销。虽然您当然可以在无密码系统中执行此操作，但对用户来说会很烦人。无密码系统的可用性通常取决于长时间运行的会话（即每隔几个月而不是每天登录一次），而基于密码的系统通常不是什么大问题。