aktywacja konta przez kod w email'u Opcje

[nikestylex7]

Witam pogubiłem się całkowicie gdyż jestem początkującym programistą. Chciałbym zrobić aktywacje konta przez kod wysyłany podczas rejestracji. Po rejestracji do bazy zostaje dodany kod aktywacyjny oraz zostaje on wysłany na email nie wiem jak zrobić żeby id znajdowało się w w tablicy get oraz kod żebym później mógł to sprawdzić z bazą i zmienić wartość w tabeli aktywnosc na 1. Oto mój kod

[PHP] pobierz, plaintext 
$akod = md5(uniqid(rand(), true));
	$user = htmlspecialchars($_POST['user']);
        $email = htmlspecialchars($_POST['email']);
	$id = ("SELECT id FROM user WHERE user = '".$user."' LIMIT 1") or die(mysql_error());
	$id = $_GET['id'];
	$akod2 = "http://semczak.xaa.pl/rejestracja_.php?id=".$id."&akod=".$akod;
        $mail_headers  = "From: Mohergame.pl\r\nReply-To: Mohergame.pl\r\n";
        $mail_headers.= "Content-Type: text/html;\n";
        $mail_headers.= "\tcharset=\"UTF-8\"\n";
        $mail_headers.= "Content-Transfer-Encoding: 8bit\n\n";
        $temat = ("Kod aktywacyjny");
        mail($email, $temat, $akod2, $mail_headers);
	mysql_query("INSERT INTO user SET user='$user', haslo='$haslo', email='$email', przydomek='$przydomek', akod='$akod'");
[PHP] pobierz, plaintext 

[abort]

Działa wszystko? Dziwne, bo według mnie nie powinno.

1. w listingu w linii 20 masz "ALERT" zamiast "ALTER".
2. jeśli nawet będzie "ALTER", które skasuje kolumnę "akod", to skasuje ją w całej tabeli - a to implikuje niemożność wygenerowania kodu dla innego usera (co zrobi INSERT z linii 13 jeśli nie będzie kolumny 'akod'? Bo imho wywali skrypta).
2a. wyobraź sobie sytuację, że dwóch użytkowników aktywuje się w zbliżonym czasie. Dodajesz dla dwóch userów wpis w kolumnie "akod". Potem jeden się aktywuje, loguje, kolumna "akod" zostaje skasowana - co się stanie w momencie próby aktywowania drugiego usera? Skrypt się wyburaczy w linii 16 (z listingu) - po klauzule "WHERE" warunek nie może przyjąć żadnej wartości logicznej, bo nie ma kolumny "akod", więc nie ma czego porównać z parametrami przekazanymi w $_GET.
3. poczytaj o SQL injection - mam nieodparte wrażenie, że ten kod jest podatny na taki atak

Moja rada: albo zostawiasz tabelę z kolumną "akod" na stałe, albo odpytujesz inną tabelę, np. o nazwie "aktywacja" - dla tych nowo aktywowanych użytkowników (a którą to tabelę można także wykorzystać np. na ponone wygenerowanie linku pozwalającego na zalogowanie się w serwisie - to może być przydatne w sytuacji "zapomniałem hasła".

Ten post edytował abort 23.12.2011, 22:19:29