Можно после того, как пользователь запросит восстановление пасса, записать в базу его id и время запроса, а потом, как он пройдёт по ссылке, смотреть в базе, когда был сделан запрос на восстановление и сравнивать с текущим временем.