Se un utente ha individuato il proprio account (quindi conosce il username e l’id), ma non ricorda la password (e non ha aggiunto un metodo di autenticazione 1FA, come CTAP2), non può recuperare l’indirizzo e-mail dell’account semplicemente aggiungendo .json all’URI del profilo corrispondente.
Di conseguenza, come può richiedere il reset della password, visto che il modulo per il reset richiede un indirizzo e-mail e non accetta un nome utente?
possono cercare la dominio del forum nei vari account email? quanti indirizzi email hanno? 
Se tutto il resto fallisce…
- inviare all’amministratore un elenco di possibili indirizzi email da verificare (l’amministratore potrebbe inviare un’e-mail a quello corretto, il che sarebbe piuttosto sicuro)
- chiedere all’amministratore se è disposto a inviare una versione oscurata come
a**********t@*****.com? a volte è sufficiente per aiutare (ma rivela anche un po’ di informazioni, quindi potrebbe non esserlo)
Gli utenti con ruolo di staff possono visualizzare l’indirizzo email con cui un utente si è registrato. Lo staff può comunicare all’utente quale sia il suo indirizzo email, in modo che questi possa effettuare l’accesso.
L’email non è visibile nel JSON. In realtà, è piuttosto nascosta, persino per lo staff (cioè dietro il pulsante “Mostra”), e, se non ricordo male, viene registrata nei log dello staff.
È possibile farlo?