150) {
$error = 'Masukkan username atau email Anda.';
} else {
$rlIp = SecurityGuard::checkRateLimit($pdo, 'forgot_ip_' . $ip, 5, 3600);
$rlAcc = SecurityGuard::checkRateLimit($pdo, 'forgot_acc_' . hash('sha256', strtolower($identifier)), 3, 3600);
if (!$rlIp['allowed'] || !$rlAcc['allowed']) {
$error = 'Terlalu banyak permintaan. Coba lagi dalam beberapa menit.';
} else {
// Respons SELALU sama (tidak membocorkan apakah akun ada atau tidak)
$sent = true;
$stmt = $pdo->prepare("
SELECT id, username, email FROM users
WHERE (username = :u OR LOWER(email) = LOWER(:u)) AND is_active = 1
ORDER BY id ASC LIMIT 3
");
$stmt->execute([':u' => $identifier]);
$users = $stmt->fetchAll();
$appUrl = rtrim((string)(getenv('APP_URL') ?: ''), '/');
foreach ($users as $u) {
if ($appUrl === '' || !filter_var($u['email'], FILTER_VALIDATE_EMAIL)) {
Database::audit('password.reset_email_skipped', 'user_id=' . (int)$u['id'] . ($appUrl === '' ? ' (APP_URL kosong)' : ' (email tidak valid)'), 0);
continue;
}
// Batalkan token lama yang belum dipakai, buat token baru (hanya hash yang disimpan)
$pdo->prepare("UPDATE password_resets SET used_at = CURRENT_TIMESTAMP WHERE user_id = :id AND used_at IS NULL")
->execute([':id' => $u['id']]);
$token = bin2hex(random_bytes(32));
$pdo->prepare("
INSERT INTO password_resets (user_id, token_hash, expires_at)
VALUES (:id, :h, :exp)
")->execute([
':id' => $u['id'],
':h' => hash('sha256', $token),
':exp' => date('Y-m-d H:i:s', time() + 1800),
]);
$link = $appUrl . '/reset?token=' . $token;
$html = 'Halo ' . e($u['username']) . ',
'
. 'Kami menerima permintaan reset password untuk akun KawalCloud Anda. '
. 'Klik tautan berikut (berlaku 30 menit, hanya satu kali pakai):
'
. '' . e($link) . '
'
. 'Jika Anda tidak meminta ini, abaikan email ini. Password Anda tidak berubah.
';
$notifier = new Notifier(Database::getSettings(1));
$res = $notifier->sendEmail('Reset Password KawalCloud', $html, $u['email']);
Database::audit($res['ok'] ?? false ? 'password.reset_email_sent' : 'password.reset_email_failed', 'user_id=' . (int)$u['id'], 0);
}
}
}
}
?>
Lupa Password — KawalCloud
Lupa Password
Masukkan username atau email akun Anda. Kami akan mengirim tautan untuk membuat password baru.
Jika akun tersebut terdaftar, tautan reset password telah dikirim ke email terkait. Periksa kotak masuk (dan folder spam).