受け入れられた回答の以前のバージョン（md5(uniqid(mt_rand(), true))）は安全ではなく、約2 ^ 60の可能な出力しか提供しません-低予算の攻撃者にとって約1週間の時間内にブルートフォース検索の範囲内です。
以来、56ビットDES鍵が約24時間でブルート強制することができ、平均ケースは、エントロピーの59約ビットを有することになる、我々は、8日間、約2 ^ 2分の59 ^ 56 =を計算することができます。このトークン検証の実装方法によっては、タイミング情報を実際にリークし、有効なリセットトークンの最初のNバイトを推測することが可能な場合があります。
質問は「ベストプラクティス」に関するものであり、次のように始まります...
パスワードを忘れた場合の識別子を生成したい
...このトークンには暗黙のセキュリティ要件があると推測できます。また、乱数発生器にセキュリティ要件を追加する場合のベストプラクティスは、常に暗号で保護された疑似乱数発生器（省略形はCSPRNG）を使用することです。
CSPRNGの使用
PHP 7では、bin2hex(random_bytes($n))（$nは15より大きい整数）を使用できます。
PHP 5では、を使用random_compatして同じAPIを公開できます。
または、インストールしたbin2hex(mcrypt_create_iv($n, MCRYPT_DEV_URANDOM))場合ext/mcrypt。別の良いワンライナーはbin2hex(openssl_random_pseudo_bytes($n))です。
ルックアップとバリデーターの分離
以前のPHPでの安全な "remember me" Cookieに関する作業から、前述のタイミングリーク（通常はデータベースクエリによって導入される）を軽減する唯一の効果的な方法は、ルックアップと検証を分離することです。
テーブルが次のようになっている場合（MySQL）...
CREATE TABLE account_recovery (
id INTEGER(11) UNSIGNED NOT NULL AUTO_INCREMENT
userid INTEGER(11) UNSIGNED NOT NULL,
token CHAR(64),
expires DATETIME,
PRIMARY KEY(id)
);
...次のselectorように、列をもう1つ追加する必要があります。
CREATE TABLE account_recovery (
id INTEGER(11) UNSIGNED NOT NULL AUTO_INCREMENT
userid INTEGER(11) UNSIGNED NOT NULL,
selector CHAR(16),
token CHAR(64),
expires DATETIME,
PRIMARY KEY(id),
KEY(selector)
);
CSPRNGを使用するパスワードリセットトークンが発行されたら、両方の値をユーザーに送信し、ランダムトークンのセレクターとSHA-256ハッシュをデータベースに保存します。セレクターを使用してハッシュとユーザーIDを取得し、ユーザーが提供するトークンのSHA-256ハッシュを計算しますhash_equals()。
コード例
PDOを使用してPHP 7（またはrandom_compatを使用した5.6）でリセットトークンを生成する：
$selector = bin2hex(random_bytes(8));
$token = random_bytes(32);
$urlToEmail = 'http://example.com/reset.php?'.http_build_query([
'selector' => $selector,
'validator' => bin2hex($token)
]);
$expires = new DateTime('NOW');
$expires->add(new DateInterval('PT01H')); // 1 hour
$stmt = $pdo->prepare("INSERT INTO account_recovery (userid, selector, token, expires) VALUES (:userid, :selector, :token, :expires);");
$stmt->execute([
'userid' => $userId, // define this elsewhere!
'selector' => $selector,
'token' => hash('sha256', $token),
'expires' => $expires->format('Y-m-d\TH:i:s')
]);
ユーザー提供のリセットトークンの確認：
$stmt = $pdo->prepare("SELECT * FROM account_recovery WHERE selector = ? AND expires >= NOW()");
$stmt->execute([$selector]);
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);
if (!empty($results)) {
$calc = hash('sha256', hex2bin($validator));
if (hash_equals($calc, $results[0]['token'])) {
// The reset token is valid. Authenticate the user.
}
// Remove the token from the DB regardless of success or failure.
}
これらのコードスニペットは完全なソリューションではありませんが（入力の検証とフレームワークの統合を避けました）、何をすべきかの例として役立つはずです。