过期的链接

Question

所以基本上我正在重置密码并想设置时间限制。这是我的代码

$time = time();
$hash = md5($id . $time . "somerandomsalt"); // check this again in activation.php
$link = "activation.php?id=" . $id . "&hash=" . $hash . "&time=" . $time;

这会安全吗？我想做的就是让链接在 1 小时后过期。我也有这个生成令牌的代码（我认为这个代码更安全）。

$rand = openssl_random_pseudo_bytes(16); // take 8 random bytes
$token = substr(sha1($rand), 0, 49);

问题是我不知道该怎么说

http://localhost:8888/forgot/activate.php?token=467e65833fc977767d5b000929d1229fa5eaf309

一定时间后过期。有任何想法吗？

Answer 1

我认为最安全的方法是将哈希的生成时间存储在数据库中。所以你会有两列：token 和token_created_at（名称无关紧要）。当用户单击该链接时，您查询数据库中的token 并将token_created_at 与当前时间进行比较。如果差值超过一个小时，则引发错误。

编辑：要找出差异，请从token_created_at 创建一个DateTime 对象，并在其上添加1 小时以获取到期时间。然后将其与当前时间进行比较。如果当前时间小于过期时间，则表示令牌有效，否则表示已过期。代码如下所示：

$token_created_at = new DateTime('2014-06-28 03:14:07');
$expires_at = $token_created_at->modify('+1 hour');

$current_time = new DateTime();

if ($current_time < $expires_at) {
  // Token is valid.
} else {
  // Token has expired.
}