为了比旧版更安全，这里要求同时核对 用户名 + 邮箱 + 昵称。验证成功后会生成 20 分钟有效的一次性重置链接。