パスワードを忘れた、等でパスワードを初期化するとかいう機能。
本人からのリクエストかどうかを判断するのにメールアドレスからメールの送達性を利用する。
メールを受け取ってその内容が読める人であれば本人とみなすというわけだ。
そして、メールが盗聴されるとこの前提が崩れる。
メールの受信だけでなく送信も行わせる？
（メール送信に認証が必要なところばかりじゃないし。）
本人かどうかを確認する手段が必要？
携帯電話の番号を事前登録しておき、パスワードリセット時にホストから電話をかけて確認する。
(Googleなど2段階認証で行われているようなものと同じ。)
メールの代わりにtwitterのDMを使うとどうなんだろう？ OAUTHで認可しておいてパスワード
リセットの手続きをするとDMがくると。twitterのDMの方がメールよりマシってことはないだろうか？
あるいはtwitterとかOpenIDとかのIDを事前登録しておき、それらIDからのアクセスであれば
パスワードリセットするとか。
...それなら独自のアカウント管理をせずにtwitterとかOpenIDとかでアカウント管理すればいいじゃん。
twitterとかOpenIDとかのアカウントとの紐づけが表立つのが困るケースであればアリかなぁ。