Как настроить проверку электронной почты пользователя после регистрации?

Ребята, я считаю, что приведенный выше метод вводит ненужные уязвимости в систему безопасности.

Основная цель верификации email - убедиться, что пользователи регистрируются с реальными адресами электронной почты, которыми они владеют или хотя бы имеют к ним доступ. Мы не хотим, чтобы люди регистрировались, например, с случайными email-адресами, принадлежащими другим людям, например, с вашим email-адресом.

Приведенный код содержит уязвимости, которые могут позволить хакеру зарегистрировать случайный email, принадлежащий другому человеку, а затем относительно легко подобрать значения $user_id и $code на странице подтверждения email.

Первая уязвимость

Вы используете $user_id. Я понимаю, что это значение может быть чем угодно, но обычно это будет целое число, особенно если используется WordPress (на котором работает около 30% сайтов в интернете), и судя по приведенному PHP-коду, он действительно основан на WordPress. Хакер либо получает свой $user_id в процессе регистрации, либо подбирает его методом перебора, просто перебирая числа последовательно, начиная с 1 и продолжая 2, 3, 4, 5, 6... Они подберут свой $user_id менее чем за день, а может быть, даже менее чем за час, если на вашем сайте не так много участников.

Вторая уязвимость

Вы создаете $code с помощью хеш-функции MD5 и времени регистрации. Хакер знает, в какое время он зарегистрировался. Допустим, хакер регистрируется в 15:00. Теперь все, что нужно сделать хакеру, это получить MD5-хеш для времени с 14:55 до 15:05, и он подберет $code менее чем за час.

Учитывая вышесказанное, хакер может просто подобрать $user_id и $code менее чем за день и подтвердить email-адрес, которым он не владеет

ну-ну-ну

Лучшим подходом было бы генерация $code с помощью функции rand(), используя заглавные (A-Z) и строчные (a-z) буквы, цифры (0-9) и специальные символы, например (!&#). Эта MD5-хеш функция использует только цифры 0-9 и строчные буквы a-f, и ваш способ ее использования на основе времени регистрации делает ее невероятно легкой для сужения диапазона и атаки перебором.

Я написал приведенный ниже PHP-код для генерации случайного $code с заглавными/строчными буквами/цифрами/специальными символами. Не делайте жизнь хакеров такой простой, ребята.

function generateRandomString($stringLength){
    //указываем символы, которые будут использоваться для генерации случайной строки, не указывайте символы, которые WordPress не разрешает при создании.
    $characters = "0123456789ABCDEFGHIJKLMNPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz_[]{}!@$%^*().,>=-;|:?";

    //получаем общую длину указанных символов для генерации случайной строки
    $charactersLength = strlen($characters);

    //объявляем строку, которую будем использовать для создания случайной строки
    $randomString = '';

    for ($i = 0; $i < $stringLength; $i++) {
        //генерируем случайные символы
        $randomCharacter = $characters[rand(0, $charactersLength - 1)];
        //добавляем случайные символы к случайной строке
        $randomString .=  $randomCharacter;
    };

    //sanitize_user, на всякий случай
    $sanRandomString = sanitize_user($randomString);

    //проверяем, что случайная строка содержит заглавные/строчные буквы/цифры/спецсимволы и имеет правильную длину
    if ( (preg_match('([a-zA-Z].*[0-9]|[0-9].*[a-zA-Z].*[_\W])', $sanRandomString)==1) && (strlen($sanRandomString)==$stringLength) )
    {
        //возвращаем случайную строку, если она соответствует критериям сложности
        return $sanRandomString;
    } else {
        //если случайная строка не соответствует минимальным критериям, вызываем функцию снова
        return call_user_func("generateRandomString",($stringLength) );
    }
}//конец функции generateRandomString

//вызываем функцию для генерации случайной строки с заглавными/строчными буквами/цифрами/спецсимволами
//в функцию передаем требуемую длину строки, в этом примере будет сгенерирована строка длиной 32 символа
$code = generateRandomString(32);

echo $code;