«Ссылка недействительна» с первой попытки: её открыли до пользователя

[Radjah]

А письмо со ссылкой на страницу для ввода токена и сам токен отдельной строкой — это уже усложнение для пользователя?

Что‑то типа писем с одноразовыми кодами для входа и прочего подобного, что нужно в любом случае копировать и вставлять в форму.

Ещё видел варианты в письмах "Если ссылка не кликабельна, то скопируйте её и вставьте в адресную строку браузера", но это было 3000 лет назад. :)

[Rsa97]

А письмо со ссылкой на страницу для ввода токена и сам токен отдельной строкой — это уже усложнение для пользователя?

Ну так практически то же самое и получится, что описано в статье, только менее удобное. Будет отдельная форма для подтверждения, что это именно пользователь, а не бот перешёл по ссылке, но токен придётся вводить вручную.

[Radjah]

Я к тому, что в письме обычно бывает ссылка с токеном в параметрах и пометка, что если ничего не получается, то вот вам токен отдельно. Ну то есть вообще убрать "быструю" ссылку, чтобы проверялки просто ходили на общую страницу.

Или в варианте с POST после страницы любое значение в параметры уезжает, а проверяется только на этапе непосредственно сброса пароля? То есть любой токен будет "правильным" в этом случае, но ошибку вылезет уже потом.

[Rsa97]

Что сделано в статье: пользователь отправляется на страницу с уже подставленным токеном, где ему надо нажать на кнопку. Сам по себе заход на страницу использованием токена не считается.
Что предлагаете вы: пользователь отправляется на страницу, где ему надо вручную ввести токен и нажать на кнопку.
В чём принципиальная разница кроме того, что пользователю надо вручную вводить токен?

[lazarus_net]

Хотя бы тем что подтверждает что это пользователь. Ещё ВК вариант ссылка в одни письме а код подтверждения в другом - уменьшает риск перехвата. Причем токен лучше сдать первым.

[Rsa97]

Хотя бы тем что подтверждает что это пользователь

Или бот, которого научили читать эти письма.

ссылка в одни письме а код подтверждения в другом

И желательно на разные адреса, чтобы жизнь мёдом не казалась. И вторую часть кода по SMS.
Всё-таки есть некий разумный предел, а то получим программиста с солонкой.

[Revertis]

Нейрослоп :(

[ogost]

 форма на GET показывает факт существования токена: получив чужую ссылку, можно узнать, что она ещё жива, не тратя её. 

А зачем её вообще проверять при GET? Проверяйте и инвалидируйте токен только при POST.