Здравствуйте. Вопрос относительно безопасности, когда пользователь обращается к эндпоинту чтобы

Question

Здравствуйте. Вопрос относительно безопасности, когда пользователь обращается к эндпоинту чтобы

поменять пароль.

Скажите: какой вариант или варианты сброса не годятся или годятся ВСЕ или ВСЕ не годятся ??

*С фронта мы передаём в эндпоинт бэка чистый пароль вместе с токеном подтверждения на сброс в эндпоинт бэка, а бэк его обрабатывает. Если токен плохой, то бэк отклоняет запись нового пароля в таблицу БД с соответствующим пользователем.

*С фронта мы передаём хешированный пароль вместе с токеном подтверждения на сброс, а бэк его обрабатывает. Если токен плохой и хэш битый( имеет не верный формат), то бэк отклоняет запись нового пароля в таблицу БД с соответствующим пользователем.

*Хранить хеш пароля в jwt и передавать в эндпоинт только jwt. Если токен плохой, то ничего не делать, если норм: проверять: есть в нём айди и хеш, если нет, ошибка. Если всё ок, то только тогда сохранить пароль из jwt в БД пользователей
какой вариант для вас будет более безопасным и приемлемым из этих вариантов ?? Если никакой, то тогда можете предложить свой ??

*Хранить хеш пароля отдельно от jwt и в jwt хранить от него только соль и передавать ещё пароль как второй параметр. Если в jwt не та соль или он не валидный или пользователя такого нет по айди субъекта и пароль по соли не совпадает с входным хешем пароля, то отклонить сброс, иначе принять этот хеш как новый пароль.