如果提供了合格令牌，则更新数据库表行

Question

我的代码正常运行，但是此高效代码（例如16行）（评论）？我当时考虑使用$ row并与上述变量进行比较，而不是编写另一个SQL查询。

我尝试使用一个变量和$ row ['field name']，但是它丢了一个错误：

试图访问null类型的值

的阵列偏移

尝试访问类型NULL代码

<?php
    require('../private/autoload.php');
    if(isset($_GET['token'])){
        $msg = "Email verified successfully, thank you.";
        $token = $_GET['token'];
        $email_status = "active";
        $sql = "SELECT `email_token`, `email_status` FROM `users` where `email_token` = ? AND `email_status` = 'inactive' LIMIT 1";
        $stmt = $conn->prepare($sql);
        $stmt->bind_param("s", $token);
        $stmt->execute();
        $result = $stmt->get_result();
        $exist = $result->num_rows;
        if($exist == 0 ){

            // $row = $result->fetch_array(MYSQLI_ASSOC);
        $sql = "SELECT `email_token`, `email_status` FROM `users` where `email_token` = ? AND `email_status` = ? LIMIT 1";   // Line 16
            $stmt = $conn->prepare($sql);
            $stmt->bind_param("ss", $token, $email_status);
            $stmt->execute();
            $result = $stmt->get_result();
            $exist = $result->num_rows;
            if($exist == 1){
            ?>
                <script>
                    alert("Email already verified.");
                    window.location = "../public/index.php";
                </script>;

            <?php exit(); ?>

            <?php }else{ ?>
                <script>
                    alert("User not found.");
                    window.location = "../public/index.php";
                </script>;
          <?php  }

        }else{
            $sql = "UPDATE `users` SET `email_status`= ? where `email_token` = ?  LIMIT 1";
            $stmt = $conn->prepare($sql);
            $stmt->bind_param("ss", $email_status, $token);
            $stmt->execute();
            $stmt->close();
            $_SESSION['msg'] = $msg;
            $_SESSION['token'] = $token;
            header('Location: mobile_verify.php');
        }
    }else{
        header('Location: index.php');
        die();
    }

    $conn->close();
?>

Answer 1

1. 通常，您不想从$ _ get请求在服务器端执行“写作”过程，但是我想您您正在向用户发送电子邮件，而他们只是单击超链接，因此这是一种可容忍的情况。
2. 我不知道您的令牌在密码上有多安全（一个好主意），但是仅依靠一个数据点可能还不够。您可能需要在有效载荷中包含第二个数据点，例如发送到的MD5（）编码电子邮件，或者是令牌的到期的表达式。这些次要数据点不需要在密码上安全，但应消除意外数据碰撞或成功的残酷攻击。
3. 我建议您的回答不是给出有关结果失败的细节。提供这些类型的线索将使黑客比您想要的更多。

很简单，一个人执行更新查询，然后根据受影响的行的数量，在需要的情况下重定向。确保您是在需要维护会话的每个页面的开头开始会话。

未经测试的建议：

$token = $_GET['token'] ?? null;
if ($token) {
    require('../private/autoload.php');
    $sql = "UPDATE users
            SET email_status='active'
            WHERE email_status='inactive'
              AND email_token=? LIMIT 1";
    $stmt = $conn->prepare($sql);
    $stmt->bind_param("s", $token);
    $stmt->execute();
    if ($stmt->affected_rows) {
        $_SESSION['msg'] = "Email verified successfully, thank you.";
        $_SESSION['token'] = $token; // why store this in the session?
        header('Location: mobile_verify.php');
        exit();
    }
}
// missing or invalid submission
header('Location: index.php');
exit();

Answer 2

建议是通过组合两者的各个方面来减少查询数量。用户不能同时“活动”或“非活动”，因此无需进行两个查询。

第一个查询已过时，因为所有信息都包含在第二个查询中。

（还请阅读初始帖子的评论）