这个问题可以拆分为两个部分：安全性（即设置的门槛）和流畅性（不过于冗余而打扰用户）
【安全性】
安全性上，现在已经有很多成熟的密码找回验证设置，主要可以分为以下几类：
1、个人信息类
为了验证找回密码的操作是用户本人进行的，需要对用户的身份进行验证，而证明“用户是本人”，无非即提供个人信息，例如：
填写账户名称、手机号-验短、邮箱-找回密码链接、甚至有一些支付相关的产品，会要求用户填写身份证信息。
这是找回密码的标配一步，基本上所有产品都必须涉及。
2、问题类
很多产品/应用在用户首次注册时即会要求用户设置安全保护问题，如“我的高中名称”，“我最喜欢的一本书”，“我最喜欢的一部电影”等。等到用户忘记密码，进行找回密码操作时，即会要求用户回答其当时填写的安全保护问题的答案，验证通过方可进行下一步密码重设操作。
3、防刷
现在网络技术发达，很多盗号的人会采用机器批量刷密码，因此，在找回密码时，需要设置防刷操作，即验证操作进行者是真人而非机器，这个途径大致有三种方式：
a.验证码
系统随机生成“数字+英文字母”，用户识别后将其填写入验证码框，有一些严格的还会要求区分大小写英文字母
b.拖动滑块完成拼图
该类型会提供用户一幅图片，但中间有一块是缺失的，用户需要手动拖动一块拼图到图片中缺失的地方补全图片以完成验证；有些平台为了增强趣味性，还会帮用户计算从拖动到完成填补共用了几秒，打败了全国百分之几的用户
c.文字/图形识别
系统提供几个文字，其中部分为倒置的，用户需要识别出倒置的文字并将其点击正置；还有的是提供6、9幅小图片，要求用户挑选出特定的图片，如“请选出水果的图片”，“请选出汽车的图片”等。
4、账号申诉类
部分跟用户利益切身相关的产品，在找回密码的操作上会流程更长，门槛更高；如中国移动更改电话卡密码要求用户提供最近3个联系过的联系人电话；QQ号申诉需要提供3个QQ好友的验证等
【流畅性】
设置门槛验证用户身份，保证用户安全的方式现在已经相对成熟了。很多产品的找回密码流程设计都是用上述几种方式的组合搭配。但过程中如何保证不因流程冗余而骚扰用户呢？
对于PC端产品来说，除了基础的用户填写信息外，在防刷机制上，可以根据用户当前的网络情况，如果网络环境好，可以采用拖动滑块填补图片的方式，提供用户一张较为有趣的图片，附加其它有趣元素如计时，打败其它用户等，减轻用户完成身份验证的不适感；如果是网络环境较差，可以直接让用户简单快捷输入验证码完成验证
对于移动端产品来说，可以尽可能减少用户在单一步骤上填写的信息量，每一步只完成一个操作，干扰元素少，指引性强的流程也能让用户轻松地完成整个找回密码的过程。
--来自某腾讯产品经理
