Sicherheit: Bestätigungslinks einfach und sicher

[suit]

Nicht wirklich, soweit war ich auch schon.

wenn du schon so weit warst, was ist dann das eigentliche problem?

Interessant ist allerdings die Anmerkung, dass die RandomId (bisher erzeugt mit uniqid()) nicht rein zeitabhängig sein sollte. Werde ich ändern, z.B. in  md5(uniqid (rand())).

das ganze rein zeitabhängig zu machen ist insofern uncool, da man das ganze dann erraten kann

ich registriere mich mit 2 mail adressen (zuerst mit meiner) dann vergleiche ich meinen hash mit meinem registrierzeitpunkt und schließe so auf den timestamp zurück - aus dem kann ich mir die differenz zwischen lokaler zeit und serverzeit ausrechnen - nun kann ich eine registrierung mit einer mailadresse durchführen die garnicht mir gehört und so den hash erraten und brauche wahrscheinlich nur ein paar versuche bis ich den richtigen habe

nachdem ich jetzt einen account mit "nicht meiner" mailadresse besitze, kann ich damit wahrscheinlich dinge anstellen, die für den besitzer der eigentlichen adresse sehr uncool sind (was, wüsste ich zwar nicht, aber dinge gibts sicher genug)