Sziasztok.
Pár napja gondolkodom, hogyan oldjam meg a regisztrációs megerősítést a weboldalamon.
A b) megoldás meg is van, ami annyit csinál, hogy generál egy tokent az adatbázisban, ami felhasználóhoz van kötve, majd ezt egy formban meg kell adni, amit regisztrációkor kiküld az SMTP szerverem, és ekkor egy update történik, ami átírja az active táblát 0-ról 1-re adatbázisba.

Ezt persze ellenőrzöm bejelentkezésnél, hogy valóban annyi-e az a tábla a felhasználóknál.

if($function == 'login') {
$username = $conn->real_escape_string($_POST['username']);
$password = $conn->real_escape_string($_POST['password']);

$check = $conn->query("SELECT * FROM auth WHERE id='".$row['id']."'");
$fetch = $check->fetch_assoc();

if(!empty($username) AND !empty($password)) {
if($fetch['active'] == 1) {
$query = $conn->query("SELECT * FROM users WHERE username='$username' AND password='".hash("SHA256",md5($password))."'");
$row = $query->fetch_assoc();

$check = $conn->query("SELECT * FROM auth WHERE user='$username'");
$fetch = $check->fetch_assoc();

if($query->num_rows > 0) {
$code = generateRandomString(rand(5,10));

$query = $conn->query("INSERT INTO sessions (code, created, user, ip)
VALUES ('$code', NOW(), '".$row['id']."', '".$_SERVER['REMOTE_ADDR']."');");
$query = $conn->query("INSERT INTO logindata (user, ip)
VALUES ('".$row['id']."', '".$_SERVER['REMOTE_ADDR']."');");
$conn->query("UPDATE users SET ip='".$_SERVER['REMOTE_ADDR']."' WHERE id='".$row['id']."'");

setcookie("elso_session", $code, time() + (86400 * 14), "/");

echo json_encode(array('success' => true, 'msg' => 'Sikeres bejelentkezés!'));
} else {
echo json_encode(array("msg" => "Hibás felhasználónév vagy jelszó!"));
}
} else {
echo json_encode(array("msg" => "Minden mezőt ki kell tölteni!"));
}
} else {
echo json_encode(array("msg" => "Nem erősítetted meg a felhasználód!"));
}
}

A megerősítés egy külön oldalon van, ahol ajax továbbítja a dolgokat, és ha egyezik a token, amit egy generateRandomString generál, akkor átírja active 1-re a felhasználók táblában a felhasználót.

Viszont az a kérdés, hogy ez mennyire biztonságos?
A másik megoldás az lenne, hogy egy linket küldök ki emailben amit ha megnyit, engedélyezve lesz a felhasználója.
Ezt hogyan kell megoldani? Sosem foglalkoztam még vele.
Előre is köszönöm.

(sulis dolgozat miatt picit sürgős lenne..)