Si un usuario ha localizado su cuenta (es decir, conoce su nombre_de_usuario e id), pero no recuerda su contraseña (ni tiene añadido un método de autenticación de un solo factor, como CTAP2), no podrá obtener la dirección de correo electrónico de la cuenta simplemente añadiendo .json a la URI del perfil correspondiente.
Por consiguiente, ¿cómo pueden solicitar un restablecimiento de contraseña, teniendo en cuenta que el formulario de restablecimiento requiere una dirección de correo electrónico; no acepta un nombre de usuario?
¿Pueden buscar en sus diversas cuentas de correo electrónico el dominio del foro? ¿Cuántas direcciones de correo electrónico tienen? 
Si todo lo demás falla…
- Enviar al administrador una lista de posibles direcciones de correo electrónico para verificar (el administrador podría enviar un correo electrónico a la correcta, lo cual sería bastante seguro).
- Preguntar al administrador si está dispuesto a enviar una versión ofuscada como
a**********t@*****.com. A veces eso es suficiente para ayudar (pero también filtra un poco de información, así que quizás no lo hagan).
Los usuarios del personal pueden ver la dirección de correo electrónico con la que un usuario se registró. El personal puede indicar al usuario cuál es su correo electrónico, para que este pueda iniciar sesión.
El correo electrónico no se puede ver en el JSON. De hecho, está bastante oculto, incluso para el personal (es decir, detrás del botón «Mostrar»), y, si no recuerdo mal, se registra en los registros del personal.
¿Es eso posible?