在退订链接中直接使用邮箱地址是否存在安全隐患？

问题背景 #

我希望在邮件中添加退订链接，已在网站部署如下PHP模块，但担忧该链接存在被滥用的安全漏洞。退订URL示例如下，其中test@domain.com为收件邮箱地址，我会通过PHP代码将其记录到文本文件中：

退订URL示例：

https://example.com/unsubscribe/MyCode.php?param=test@domain.com

对应的PHP代码：

$file = 'access_log.txt';
$timestamp = date('Y-m-d H:i:s');
$ip = $_SERVER['REMOTE_ADDR'];
$param = isset($_GET['param']) ? $_GET['param'] : 'No Parameter';
$entry = "$timestamp, $ip, $param\n";

if (file_put_contents($file, $entry, FILE_APPEND | LOCK_EX)) {
    echo "Log entry recorded.";
} else {
    echo "Error writing to file.";
}

请问这种直接在退订链接中使用邮箱地址的方式是否安全？

安全风险分析 #

这种直接暴露邮箱地址的做法存在明显安全隐患，主要风险包括：

• 邮箱泄露与垃圾邮件骚扰：退订链接可能被转发、爬虫抓取或恶意截取，邮箱地址一旦流入垃圾邮件发送者手中，收件人反而会收到更多垃圾邮件，违背退订功能的初衷。
• 批量恶意攻击：攻击者可以构造大量含不同邮箱的请求，往日志文件里塞无效数据，轻则导致日志体积暴涨占用服务器空间，重则干扰后续退订业务的正常处理。
• 数据格式破坏与潜在注入风险：如果param里包含换行、特殊分隔符等字符，会直接打乱日志文件的格式，导致后续解析失败；要是后续把日志数据导入数据库或自动执行退订逻辑，未过滤的内容还可能引发注入类问题。

改进方案 #

建议用邮箱地址+唯一随机令牌的组合替代直接暴露邮箱的方式：

1. 生成专属令牌：发邮件时，给每个邮箱生成一个唯一的随机令牌（比如用bin2hex(random_bytes(16))生成32位随机字符串），把邮箱和令牌的对应关系存在数据库里（别只靠日志记录）。
2. 构造安全退订链接：URL改成https://example.com/unsubscribe/MyCode.php?token=abcdef123456...的形式，不再直接暴露邮箱。
3. 验证令牌有效性：用户点击链接时，PHP通过令牌查询数据库找到对应邮箱，再执行退订和日志操作；同时限制每个令牌只能用一次，避免重复请求。

另外，当前的日志写入逻辑也可以优化：

• 用filter_var($param, FILTER_VALIDATE_EMAIL)验证邮箱格式，过滤无效数据后再写入日志。
• 把日志文件放在Web不可访问的目录下，防止被恶意下载。

内容的提问来源于stack exchange，提问作者AFerns100