JavaScript/PHP 注册电子邮件确认工作流程的安全注意事项

我正在为我的 JavaScript/PHP 网站构建用户注册工作流程。用户注册后，他们就会被添加到数据库中（处于非活动状态）。然后，用户将收到一封确认电子邮件，这需要他们单击确认链接。

目前，确认链接会将用户重定向到站点登录页面，并以确认码作为 URL 参数。文档准备好后，JavaScript 将从 URL 中提取确认代码并将其提交到 PHP 后端。如果代码有效，则数据库中的用户状态将升级为活动状态。

从安全角度来看，确认链接直接导航到 PHP，然后 PHP 可以将用户重定向回网站是不是更好？最佳实践是什么？

我认为只要您仍在验证安全代码，如何操作并不那么重要。如果您确实愿意，只需使用 PHP 即可做到这一点。

将用户发送到例如/verify.php?key=123456，并在您的页面上：

if (isset($_GET['key']))
{
    $key = $_GET['key'];
    // TODO: Perform validation on $key
    // TODO: Do whatever you are already doing to list the user's email as valid.
}