Вы не можете отправить пароль пользователю по электронной почте, потому что вы его не знаете. Вы «хэшировали» его, применяя что-то вроде PBKDF2 или bcrypt для хранения, верно?
Если вы сбросите пароль без подтверждения его владельцем учетной записи, злоумышленник может лишить владельца доступа к своей учетной записи, по крайней мере, до тех пор, пока он не проверит свою электронную почту, используя адрес электронной почты жертвы для запроса сброса.
Достаточно безопасный метод для многих приложений - отправить по электронной почте ссылку владельцу учетной записи, содержащую большое, случайно сгенерированное число. Этот токен должен быть действителен только в течение ограниченного времени. Если владелец желает сбросить свой пароль, он щелкает ссылку, и это подтверждает его как владельца учетной записи. Владелец учетной записи может затем указать новый пароль.