¿Cómo configurar la verificación de correo electrónico del usuario después del registro?

Chicos, creo que el método anterior introduce vulnerabilidades de seguridad que no deberían estar ahí.

El objetivo principal de la verificación por correo electrónico es asegurarnos de que las personas que se registran proporcionen una dirección de correo real que les pertenezca o al menos a la que tengan acceso. No queremos que se registren con direcciones de correo aleatorias que pertenezcan a otros, por ejemplo, tu dirección de correo.

El código anterior tiene vulnerabilidades que podrían permitir a un hacker registrar una dirección de correo aleatoria que pertenezca a otra persona y luego adivinar relativamente fácil el valor de $user_id y el valor de $code en tu página de verificación de correo.

Primera vulnerabilidad

Estás usando $user_id. Sé que este valor podría ser cualquier cosa, pero típicamente será un entero, especialmente si usas WordPress, que es aproximadamente el 30% de los sitios web en internet, y viendo el código PHP anterior, efectivamente está basado en WordPress. El hacker obtendrá su $user_id como parte del proceso de registro o lo adivinará mediante fuerza bruta, simplemente incrementando secuencialmente comenzando en 1 y continuando con 2, 3, 4, 5, 6... Adivinarán su $user_id en menos de un día, quizás incluso en menos de una hora si tu sitio no tiene muchos miembros.

Segunda vulnerabilidad

Estás creando un $code usando la función de hash MD5 y la hora de registro. El hacker sabe a qué hora se registró. Digamos que el hacker se registra a las 3 pm. Ahora, todo lo que el hacker tiene que hacer es aplicar MD5 a horas desde las 2:55 pm hasta las 3:05 pm y adivinarán el $code en menos de una hora.

Mirando lo anterior, el hacker puede simplemente adivinar por fuerza bruta el $user_id y $code en menos de un día y verificar una dirección de correo que no le pertenece

tsk tsk tsk

Un enfoque mejor sería generar un $code con la función rand() usando mayúsculas (A-Z), minúsculas (a-z), números (0-9) y caracteres especiales como (!&#). Esa función MD5 solo usa números del 0-9 y letras minúsculas de la a-f, y la forma en que la están usando, basada en la hora de registro, la hace increíblemente fácil de reducir y atacar por fuerza bruta.

He escrito el siguiente código PHP para generar un $code aleatorio con mayúsculas, minúsculas, números y caracteres especiales. No se lo pongan tan fácil a los hackers, chicos.

function generateRandomString($stringLength){
    //especificar caracteres a usar en la generación de la cadena aleatoria, no incluir caracteres que WordPress no permita al crear usuarios.
    $characters = "0123456789ABCDEFGHIJKLMNPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz_[]{}!@$%^*().,>=-;|:?";

    //obtener la longitud total de los caracteres especificados para generar la cadena aleatoria
    $charactersLength = strlen($characters);

    //declarar una cadena que usaremos para crear la cadena aleatoria
    $randomString = '';

    for ($i = 0; $i < $stringLength; $i++) {
        //generar caracteres aleatorios
        $randomCharacter = $characters[rand(0, $charactersLength - 1)];
        //agregar los caracteres aleatorios a la cadena
        $randomString .=  $randomCharacter;
    };

    //sanitize_user, por si acaso
    $sanRandomString = sanitize_user($randomString);

    //verificar que la cadena contenga mayúsculas, minúsculas, números y caracteres especiales, y que tenga la longitud correcta
    if ( (preg_match('([a-zA-Z].*[0-9]|[0-9].*[a-zA-Z].*[_\W])', $sanRandomString)==1) && (strlen($sanRandomString)==$stringLength) )
    {
        //devolver la cadena si cumple con los criterios de complejidad
        return $sanRandomString;
    } else {
        //si la cadena no cumple los criterios mínimos, llamar a la función nuevamente
        return call_user_func("generateRandomString",($stringLength) );
    }
}//fin de la función generateRandomString

//llamar a la función para generar una cadena aleatoria con mayúsculas, minúsculas, números y caracteres especiales
//pasamos la longitud de la cadena requerida, en este ejemplo generará una cadena de 32 caracteres
$code = generateRandomString(32);

echo $code;