Безопасное восстановление доступа к аккаунту пользователя?
Отправлять на email одноразовую ссылку восстановления, которая работает только в текущей сессии. Надежно, проверено временем. Если хочется извращений, то можно еще смс-код привинтить.
Авторизуйте через госуслуги! Там пароль по паспорту восстановят!