如何在不存储用户数据到数据库的情况下实现PHP注册表单OTP验证？

思路1：内存型临时存储（Redis/Memcached） #

• 用户提交注册表单后，不写入正式数据库，而是将加密后的用户注册信息、生成的OTP、邮箱地址及过期时间（如15分钟）存入Redis或Memcached。
• 给用户邮箱发送OTP验证码，用户输入后，后端从内存存储中按邮箱取出对应数据，验证OTP是否匹配。
• 验证通过后，解密注册信息写入正式数据库，同时删除内存中的临时数据；验证失败或超时则直接清理临时数据。
• 优势：内存存储读写高效，不占用关系型数据库带宽，临时数据可自动过期，无需手动维护。

思路2：加密嵌入用户数据到验证Token（JWT/自定义加密串） #

• 生成OTP后，用AES等对称加密算法将用户完整注册信息（哈希后的密码、邮箱、昵称等）、OTP、过期时间加密成安全Token，或用JWT封装（设置短过期时间）。
• 将Token和OTP发送至用户邮箱：可以是带Token的验证链接，让用户跳转至验证页；也可以让用户输入OTP时一并提交Token。
• 用户验证时，后端解密Token/JWT，取出OTP与用户输入值对比，同时检查过期时间。验证通过后，直接从Token提取信息写入正式数据库，无需额外存储临时数据。
• 注意：加密密钥需妥善保管，Token过期时间设置在10-15分钟，避免篡改或滥用。

思路3：轻量临时数据表（极简字段） #

• 若不想引入内存存储，可创建仅含邮箱、OTP、过期时间三个字段的临时表（最多加一个唯一标识）。
• 用户提交表单后，前端将哈希后的敏感信息（如密码）和其他注册信息暂存到localStorage，后端仅把邮箱和OTP存入临时表。
• 用户输入OTP验证通过后，前端提交暂存的注册信息，后端从临时表校验邮箱与OTP的匹配性，确认无误后写入正式数据库，同时删除临时表对应记录。
• 优势：无需额外组件，依赖现有数据库即可，但要定期清理过期记录，避免表膨胀。

额外注意事项 #

• 所有方案需添加防刷机制：限制同一邮箱单位时间内的OTP请求次数，防止恶意攻击。
• 敏感数据（如密码）必须先哈希再处理，禁止明文存储或传输。
• 验证完成后，务必及时清理临时数据（内存/临时表），减少资源占用。

内容的提问来源于stack exchange，提问作者Shayan Kanwal