CodeIgniter注册后如何安全传递手机号至confirmNumber方法？

嘿，这个需求非常合理——不想用GET暴露手机号、避免用户篡改参数，我来给你几个在CodeIgniter里可行的方案，都是基于服务器端存储的安全方式：

方案1：使用Session持久存储手机号 #

CodeIgniter的Session存储在服务器端，用户无法直接修改，非常适配这种场景。你可以在注册成功后把手机号存入Session，再跳转到验证页面，最后在验证方法中读取Session里的手机号：

修改你的register方法： #

public function register() {
    $request = \Config\Services::request();
    if($request->getMethod() == 'post'){
        $validation = \Config\Services::validation();
        if ($validation->run($request->getPost(),'register')){
            $this->save($request->getPost());
            
            // 初始化Session并存储手机号
            $session = \Config\Services::session();
            $session->set('phone_number', $request->getPost('phone-number'));
            
            // 跳转到手机号验证页面
            return redirect()->to('/auth/cofirmNumber');
        }else{
            $data['validation'] = $validation->getErrors();
            return view('/auth/register',$data);
        }
    }else{
        return view('/auth/register');
    }
}

修改你的cofirmNumber方法： #

public function cofirmNumber() {
    $session = \Config\Services::session();
    $phoneNumber = $session->get('phone_number');
    
    // 校验是否存在手机号，防止直接访问验证页面
    if (!$phoneNumber) {
        return redirect()->to('/auth/register')->with('error', '请先完成注册流程');
    }
    
    // 将手机号传递到验证视图
    $data['phone_number'] = $phoneNumber;
    return view('/auth/confirm_number', $data);
}

注意：验证完成后记得删除Session里的手机号，避免后续误用：

// 验证成功后执行
$session->remove('phone_number');

方案2：使用Flash Data（一次性Session） #

如果你希望手机号只在本次跳转中有效（用户刷新验证页面后就无法获取），可以用CodeIgniter的Flash Data——它是一次性的Session数据，读取后自动销毁，更适合验证这种一次性操作：

在register方法中替换Session存储代码： #

// 用Flash Data存储手机号
$session->setFlashdata('phone_number', $request->getPost('phone-number'));

在cofirmNumber方法中读取： #

public function cofirmNumber() {
    $session = \Config\Services::session();
    $phoneNumber = $session->getFlashdata('phone_number');
    
    if (!$phoneNumber) {
        return redirect()->to('/auth/register')->with('error', '验证链接已过期，请重新注册');
    }
    
    $data['phone_number'] = $phoneNumber;
    return view('/auth/confirm_number', $data);
}

这个方案的好处是避免Session中残留用户手机号，安全性更高，适合验证流程完成后不需要保留手机号的场景。

方案3：结合数据库Token（进阶版） #

如果你的验证流程需要支持跨会话（比如用户关闭浏览器后重新打开验证），可以在save方法中生成一个随机验证Token，和手机号关联存入数据库，然后把Token通过GET传递（因为Token是随机且一次性的，用户篡改也无法对应有效手机号）：

修改save方法： #

private function save(array $array) {
    // 保存用户信息到数据库
    $userId = $this->db->table('users')->insertGetId($array);
    
    // 生成随机验证Token
    $token = bin2hex(random_bytes(16));
    
    // 存储Token和手机号的关联
    $this->db->table('phone_verifications')->insert([
        'user_id' => $userId,
        'phone_number' => $array['phone-number'],
        'token' => $token,
        'expires_at' => date('Y-m-d H:i:s', strtotime('+15 minutes')) // 设置15分钟过期
    ]);
    
    // 返回Token给register方法
    return $token;
}

修改register方法： #

public function register() {
    // ... 前面的代码不变
    
    if ($validation->run($request->getPost(),'register')){
        $verificationToken = $this->save($request->getPost());
        
        // 跳转到验证页面，携带Token
        return redirect()->to('/auth/cofirmNumber?token=' . $verificationToken);
    }
    
    // ... 后面的代码不变
}

修改cofirmNumber方法： #

public function cofirmNumber() {
    $request = \Config\Services::request();
    $token = $request->getGet('token');
    
    if (!$token) {
        return redirect()->to('/auth/register')->with('error', '无效的验证请求');
    }
    
    // 查询数据库获取对应的手机号
    $verification = $this->db->table('phone_verifications')
        ->where('token', $token)
        ->where('expires_at >', date('Y-m-d H:i:s'))
        ->get()->getRow();
    
    if (!$verification) {
        return redirect()->to('/auth/register')->with('error', '验证链接已过期或无效');
    }
    
    $data['phone_number'] = $verification->phone_number;
    $data['token'] = $token; // 后续验证提交时需要携带Token
    return view('/auth/confirm_number', $data);
}

这个方案适合需要持久化验证的场景，虽然用了GET，但Token是不可预测的，安全性也有保障。

内容的提问来源于stack exchange，提问作者Ramin