email-and-password-best-practices

用途：为使用 Better Auth 的项目配置邮箱/密码注册登录、邮箱验证、密码重置与密码策略。主要能力：启用 emailAndPassword: { enabled: true }；配置 emailVerification.sendVerificationEmail 发送验证邮件，并可用 emailAndPassword.requireEmailVerification 阻止未验证用户登录（启用后每次登录重发验证邮件，仅适用于邮箱/密码登录）；通过 sendResetPassword、onPasswordReset 构建重置流程；设置 resetPasswordTokenExpiresIn（默认令牌 1 小时过期、单次使用）与 revokeSessionsOnPasswordReset 撤销会话；用 minPasswordLength、maxPasswordLength 限定密码长度；默认使用 Node.js 原生 scrypt，可通过 password.hash / password.verify 改用 Argon2id 等算法。使用方式：安装配置后运行 npx @better-auth/cli@latest migrate，再验证注册并确认验证邮件触发。注册登录的 callbackURL 应使用含 origin 的绝对 URL。调用 auth.api.requestPasswordReset 或 authClient.requestPasswordReset 发送重置链接，需提供 email，建议配置 redirectTo。安全方面内置后台发信防时序攻击、无效请求占位操作、恒定响应防用户枚举；Serverless 平台需在 advanced.backgroundTasks.handler 中配置 waitUntil 等。限制：切换哈希算法会使旧哈希用户无法登录，需迁移策略；requireEmailVerification 依赖 sendVerificationEmail；API 形状、策略选项与安全默认值如有疑问，应先查询 DeepWiki 并对照本地类型、源码或官方文档核实。其余平台、收费与效果信息暂未提供。