tl;dr：这一切都取决于用户在保护邮件安全方面的表现。但那是明信片而不是信件。不要专门提供该选项。此外，似乎是一个xy 问题。

以下是一些需要考虑的事项：

• 你说

  用户通过电子邮件收到一个字母数字代码（假设为 8 位数字，有效期为 1 小时）。

  我们宁愿说 20 个字节，有效期为 10 分钟。8位密码的暴力破解是绝对可行的。

  这可以通过电子邮件中链接的获取请求传递给应用程序/Web 应用程序，以使用户的生活更轻松。

  顺便说一句，这就是 Slack 的“魔术链接”功能。

• 你列为否定

  需要一个电子邮件地址。如果您无法访问它，您将无法访问您的帐户。

  和

  如果您忘记了您的电子邮件地址，您将无法访问您的帐户。

  这通常是这种情况，至少在密码重置时是这样。

• 您仍然可以在 Web 应用程序中使用会话 cookie 以使用户保持更长时间的登录 - 与将该令牌存储在移动应用程序中相同。

  因此这个问题

  每次登录时检查您的电子邮件很不方便。

离开了。

• 你列为积极

  大部分安全负担都转移到了电子邮件提供商身上。

  而事实上，很多安全负担也转移到了用户身上。

  您有多确定您的用户只通过安全连接检查他们的邮件，而没有被窃听的机会？（想一想：打开 WiFi，手机上定期 POP。每天都在发生。）

  这使用户的邮箱成为单点故障。

  此外，虽然大多数 IT 相关人士都知道我被加密了，但仍有很多人不知道他们的电子邮件已经因为密码重用而被泄露。

  然而，最后一点也适用于密码重置电子邮件——只是它们发生的频率较低，并且通常会触发额外的安全措施。

无论您出于何种原因尝试使用邮件和短期密码，都有更好的方法 - 例如，UBS 安全令牌确实在等式中添加了“只有你拥有的东西”部分，而不是删除“只有你知道的东西”部分。

我还建议您考虑这是否可能是xy 问题的一个实例，并针对您要解决的实际问题提出一个新问题。

修改后的问题更新：

如果密码正确散列，则将它们存储在数据库中没有任何问题。

然而，如果我们接受作为 UX 决定让用户没有密码，使用电子邮件并请求用户 GPG 密钥和/或 S/MIME 证书，并使用请求的邮件向用户发送短期密码链接就可以了.