тогда можно вот так:

Sergey M. 29.03.2003 15:26

пользователю на e-mail приходит ссылка, пойдя по которой он попадёт на форму, в которой может ввести новый пароль.

Преимущества:
1. не надо ничего генерировать, пользователь вводит всё сам.
2. если пользователь не пошел по ссылке, пароль не меняем.
3. ссылка работает один раз, если кто-то её увидит и пойдёт повторно, он просто обломится...

---