누군가가 내 대신 "비밀번호 찾기"를 반복적으로 트리거하게 되면 분명히 짜증나는 일이죠 .. 하지만 이걸 근거로 사용자의 비밀번호 재설정 기능을 차단할 수는 없습니다. 비밀번호 재설정 기능을 차단하는 것 역시 일종의 괴롭힘(griefing)에 해당하기 때문이죠. 
현재 분당 여러 번 수준으로 속도 제한(rate limit)이 설정되어 있다고 생각하는데, @riking 이 코드 경로를 검토해 주셔서 해당 기능이 여전히 정상 작동하는지 확인해 주시겠어요? 한도를 높일 수는 있지만, 그렇게 하더라도 “하루 몇 번” 수준의 악용을 안전하게 막을 수는 없습니다.
또한 관리자 > 로그 > 차단된 IP(Admin, Logs, Screened IPs)를 통해 IP 주소를 차단하면 해당 IP 주소가 비밀번호 재설정 요청을 보내는 것을 막을 수 있을 것으로 생각되는데, 이 부분도 @riking 이 정상 작동하는지 확인해 주시면 좋겠습니다.