如何通过邮件更新用户自定义字段wwp_aanwezigheid？是否有安全风险？

一、核心逻辑 #

邮件里的YES/NO按钮本质是带参数的专属链接，用户点击后跳转到一个专门处理请求的页面，该页面会先验证请求的合法性，确认没问题后再更新用户的wwp_aanwezigheid自定义字段。

二、具体操作步骤 #

1. 生成带安全签名的邮件链接 #

给用户发邮件时，要为每个用户生成唯一的YES/NO链接，里面需包含用户ID、目标状态（Aanwezig/Absent），还要附加签名参数防止他人篡改链接内容。以WordPress环境为例，代码示例如下：

// 生成签名所需的核心参数
$user_id = 123; // 替换为实际目标用户ID
$action = 'Aanwezig'; // YES对应此值，NO则改为'Absent'
$expiry = time() + 86400; // 设置链接有效期为1天（86400秒）
// 用WordPress自带的AUTH_KEY作为密钥生成HMAC签名，避免自定义密钥的安全性问题
$signature = hash_hmac('sha256', "$user_id|$action|$expiry", AUTH_KEY);

// 拼接YES和NO的完整链接
$yes_link = home_url('/update-attendance?user_id='.$user_id.'&action=Aanwezig&expiry='.$expiry.'&sig='.$signature);
$no_link = home_url('/update-attendance?user_id='.$user_id.'&action=Absent&expiry='.$expiry.'&sig='.$signature);

// 邮件内容中的按钮样式示例
$email_content = "
<p>请确认你的出席状态：</p>
<a href='$yes_link' style='padding:8px 16px; background:#2ecc71; color:white; text-decoration:none; border-radius:4px;'>YES（出席）</a>
<a href='$no_link' style='padding:8px 16px; background:#e74c3c; color:white; text-decoration:none; border-radius:4px; margin-left:10px;'>NO（缺席）</a>
";

2. 创建请求处理页面 #

在WordPress主题目录下新建update-attendance.php文件，作为链接跳转后的处理页面（也可通过自定义短代码、REST API端点实现），代码示例：

<?php
/*
Template Name: 更新出席状态
*/

get_header();

// 先检查必要参数是否齐全
if (!isset($_GET['user_id'], $_GET['action'], $_GET['expiry'], $_GET['sig'])) {
    echo '<p>请求无效：缺少必要参数</p>';
    get_footer();
    exit;
}

// 对参数进行安全格式化处理
$user_id = intval($_GET['user_id']);
$action = sanitize_text_field($_GET['action']);
$expiry = intval($_GET['expiry']);
$sig = sanitize_text_field($_GET['sig']);

// 检查链接是否过期
if (time() > $expiry) {
    echo '<p>链接已过期，请联系管理员重新发送</p>';
    get_footer();
    exit;
}

// 验证签名是否匹配，防止参数被篡改
$expected_sig = hash_hmac('sha256', "$user_id|$action|$expiry", AUTH_KEY);
if (!hash_equals($expected_sig, $sig)) {
    echo '<p>请求不合法，请勿修改链接参数</p>';
    get_footer();
    exit;
}

// 验证操作类型是否合法
if (!in_array($action, ['Aanwezig', 'Absent'])) {
    echo '<p>无效的操作类型</p>';
    get_footer();
    exit;
}

// 所有验证通过后，更新用户自定义字段
update_user_meta($user_id, 'wwp_aanwezigheid', $action);

echo '<p>状态更新成功：'.$action.'</p>';

get_footer();
?>

三、方案可行性 #

完全可行。本质是通过GET请求触发服务器端的字段更新操作，只要做好参数验证和安全防护，就能稳定运行。尤其适合会议出席确认、活动报名反馈这类需要用户快速响应的场景。

四、安全隐患及应对措施 #

1. 参数篡改风险：用户可能修改URL中的user_id或action参数，导致误改其他用户的字段。
   • 应对：使用HMAC签名验证参数完整性，参数一旦被篡改，签名就会不匹配，直接拒绝请求。
2. 重复点击问题：用户多次点击按钮会重复更新字段，虽不影响逻辑，但会产生冗余操作。
   • 应对：新增wwp_attendance_updated元字段记录用户操作状态，再次请求时提示“已完成状态确认”。
3. 链接泄露风险：邮件被转发后，他人可能点击链接修改目标用户的状态。
   • 应对：设置合理的链接有效期（如1天），同时在处理页面增加登录验证——仅当当前登录用户ID与URL中的user_id一致时，才允许更新操作。
4. CSRF攻击风险：GET请求的CSRF风险较低，但仍需防范。
   • 应对：除签名验证外，可结合WordPress的wp_nonce_field机制（需注意nonce有效期较短，需根据场景平衡）。

内容的提问来源于stack exchange，提问作者MarcoDocker