Ревью: вход и сброс пароля на Node.js

app.post('/login', async (req, res) => {
  const user = await db.users.findOne({ email: req.body.email });
  if (!user) return res.status(404).json({ error: 'Пользователь не найден' });
  if (user.password !== md5(req.body.password)) return res.status(401).json({ error: 'Неверный пароль' });
  req.session.userId = user.id;
  res.json({ ok: true });
});

app.post('/forgot', async (req, res) => {
  const token = Math.random().toString(36).slice(2);
  await db.resets.insert({ email: req.body.email, token });
  await mail(req.body.email, `https://${req.headers.host}/reset?token=${token}`);
  res.json({ ok: true });
});