【安全加密】找回密码：身份核验与社工防御

---找回的申请：多维身份核验
function Recovery.apply(userId, idCard, bindInfo)
    -- 核验一：实名信息的比对
    if not RealName.matchIdCard(userId, idCard) then
        Recovery.reject(userId, "id_mismatch")
        return false, "实名信息不匹配"
    end
    -- 核验二：绑定信息的佐证（手机/邮箱尾号）
    if not Recovery.matchBind(userId, bindInfo) then
        Recovery.reject(userId, "bind_mismatch")
        return false
    end
    -- 核验三：账号行为的佐证（创建时间与常用职业）
    if not Recovery.matchHistory(userId, bindInfo) then
        Recovery.reject(userId, "history_mismatch")
        return false
    end
    local token = Recovery.issueToken(userId, 3600)
    sendmail(userId, 8012, "找回验证通过",
        "一小时内的重置链接已生成", "")
    return true, token
end

---社工的防御：信息的模糊化与拒绝话术
function Recovery.inquiry(actor, targetName)
    -- 一律不透露目标账号的任何信息
    sendmsg(actor, 1, "如需找回，请通过官网的
        自助通道提交申请")
    -- 查询行为本身留痕
    Ops.log("找回查询", actor, targetName, os.time())
    return false
end