在使用 jwt/node/express 重置密码期间确认身份？

Question

我第一次使用身份验证机制，我可以使用 jwt 创建用户和登录/注销。 但是对于能够重置密码的用户，我陷入了这个过程。 到目前为止我所拥有的是这个......

1. 用户点击“忘记密码”，输入自己的 email 地址，然后提交。
2. 在后端生成一个令牌并与用户的 email 地址一起存储作为“等待验证”措施。
3. 发送一个 email 与一个链接返回路由与令牌作为 url 查询site.com/resetpassword?token=[tokenstring]
4. 服务器路由接收到这个令牌，对其进行验证，然后将其撤销，使其不能再次使用。
5. 用户会看到一个 html 页面，其中有一个新密码输入框和一个提交按钮。

用户可以输入密码并将其 POST 回服务器，但我实际上没有令牌供他们在下一步返回服务器时进行身份验证，因为我会尽快从电子邮件链接中撤销令牌它进来了。我如何通过页面渲染向客户端获取令牌？ 我想我应该为这一步使用一个新的令牌，对吧？

我也可以将其作为带有重定向的 url 查询发送，但我认为我不想像那样公开发送，而是希望它是 https，我相信。 I could also put it in the response header with res.set() but I don't know how the client javascript can access the response header of the res.render() for the page since it isn't an axios or fetch request传递登录令牌的方式。 这只是浏览器中 url 链接的 GET。

所以我的问题是：是否有一种最佳实践方法可以在页面渲染或重定向中向客户端发送身份验证 jwt 令牌，我可以使用该方法将 POST 和新密码发回？

编辑：另外，我已经研究了一段时间，但找不到这个具体问题的直接答案。