PHPMailer发送新账号验证邮件异常 未点击链接自动完成验证

这个问题和PHPMailer组件本身没有任何关系，核心原因是邮件传输链路中存在自动发起HTTP请求的链接检测机制，本地开发环境没有这类安全扫描组件所以流程正常，按以下顺序排查即可：

• 优先检查验证接口的访问日志
  先拉取验证接口的web访问日志，定位触发自动验证的请求特征：重点看请求来源IP、User-Agent字段。90%以上的同类问题都是服务器本地部署的反病毒组件、云主机自带的安全防护、出站邮件安全网关在自动扫描邮件内的链接做恶意内容检测，这类请求的来源IP通常是服务器本机回环地址、同VPC内网地址、云厂商官方安全服务IP段，UA会包含Antivirus Scan、Safe Browsing、Security Check类的标识。
• 检查邮件发送服务商的链路配置
  如果你使用第三方邮件推送服务而非自建MTA发送邮件，绝大多数邮件服务商默认会开启链接预检测、链接中转功能，在邮件投递前就会自动请求所有内嵌链接做安全校验，这类请求来源是邮件服务商的官方IP段。可以登录邮件服务控制台，关闭「链接安全扫描」「自动预取链接」类的开关验证。
• 检查收件邮箱的自动扫描逻辑
  部分公共邮箱、企业邮箱会在收到邮件后自动爬取邮件内所有链接做钓鱼、病毒检测，这类请求通常在邮件送达后数秒内发起，来源是对应邮箱服务商的官方IP段。

永久修复方案 #

不要使用GET请求直接触发账号验证的状态变更——这本身也违反HTTP方法的语义规范：GET请求应当是幂等的，仅用于获取资源，不应该产生数据修改操作。
正确的实现逻辑：

1. 用户点击验证链接发起GET请求时，服务端仅校验验证token的有效性，返回一个带「确认验证」按钮的HTML页面，页面内包含携带token的POST表单
2. 只有当用户手动点击按钮提交POST请求时，服务端才执行用户账号状态更新为已验证的逻辑
   所有自动扫描器只会发起GET请求抓取页面内容，不会提交POST表单，从根本上避免自动触发验证的问题。

临时规避方案：如果暂时不想改接口逻辑，可以在验证逻辑里加一层判断，过滤来源是服务器内网IP、UA匹配已知安全扫描器特征的GET请求，不执行激活操作，但这个方案无法覆盖所有扫描场景，还是建议按规范修改请求方法逻辑。

逻辑参考代码 #

错误实现（GET直接修改状态，会被自动扫描触发）：

// 路由 /verify?token=xxxx
$token = $_GET['token'];
$user = User::where('verify_token', $token)->first();
if ($user) {
    // 直接更新状态，扫描器访问就会误触发
    $user->update(['verified' => 1, 'verify_token' => null]);
    echo '验证成功';
}

修正后实现：

// 路由 /verify
if ($_SERVER['REQUEST_METHOD'] === 'GET') {
    $token = $_GET['token'] ?? '';
    $user = User::where('verify_token', $token)
        ->where('token_expire', '>', time())
        ->first();
    if (!$user) {
        exit('验证链接无效或已过期');
    }
    // 仅返回确认页面，不做状态修改
    $csrfToken = bin2hex(random_bytes(16));
    $_SESSION['verify_csrf'] = $csrfToken;
    echo <<<HTML
<form method="POST" action="/verify">
    <input type="hidden" name="token" value="{$token}">
    <input type="hidden" name="csrf" value="{$csrfToken}">
    <button type="submit">点击确认完成账号验证</button>
</form>
HTML;
    exit;
}

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    // 校验CSRF和token
    if (($_POST['csrf'] ?? '') !== ($_SESSION['verify_csrf'] ?? '')) {
        exit('请求非法');
    }
    $token = $_POST['token'] ?? '';
    $user = User::where('verify_token', $token)
        ->where('token_expire', '>', time())
        ->first();
    if (!$user) {
        exit('验证链接无效或已过期');
    }
    // 仅POST请求才更新状态
    $user->update(['verified' => 1, 'verify_token' => null]);
    unset($_SESSION['verify_csrf']);
    exit('账号验证成功，可返回登录');
}

内容的提问来源于stack exchange，提问作者Joachim Schmäck