带邮箱验证的注册：线上环境userstatus字段未验证就异常更新排查

异常表现 #

• 集成邮箱验证功能的注册代码在本地部署环境完全正常：本地环境为PHP 7.2.18、MySQL 5.7.26，注册时插入用户记录的userstatus字段值为0，只有用户点击邮件内的验证链接跳转后，才会将该字段更新为1
• 完全相同的代码迁移到线上生产环境（PHP 7.2.27、MariaDB 5.5.65，数据库表结构与本地完全一致）后出现异常：用户刚提交注册、尚未点击邮件内验证链接时，对应账号的userstatus就被随机更新为1
• 逐行排查全项目代码确认：仅verify.php文件中存在更新userstatus字段的逻辑，该文件的唯一预期调用入口就是发送给用户的邮件激活链接
• 排查过程中发现两个强关联触发条件：
  • 服务器错误日志中，每次触发验证邮件发送动作时，都会同步出现报错：script '/var/www/html/test/verify.php' not found or unable to stat
  • 只要注释掉代码中发送邮件的mail()函数，userstatus异常更新的问题立刻消失，日志里的对应报错也不再出现

问题根因 #

并非代码逻辑bug，也不是数据库配置差异导致的问题

之前本地测试发的验证邮件，大多走本地邮件服务、或者只发送给测试邮箱，没有经过公共邮箱服务商的安全网关，自然不会触发预抓取逻辑，所以测不出问题，造成了同套代码本地运行正常、线上异常的错觉。
现在主流公共邮箱、企业邮箱服务商为了拦截钓鱼链接、恶意邮件，都会内置安全扫描机制：邮件在送达用户收件箱之前，系统会自动抓取邮件HTML内容中所有外链指向的地址，提前请求页面内容做安全风险检测。
项目中生成的明文激活链接直接写在邮件HTML的<a>标签href属性内，邮件服务商的安全扫描器会在邮件还没到用户眼前的时候，就带着链接里的token参数自动请求了一次verify.php接口，直接执行了账号激活的更新逻辑。日志里报的路径找不到错误，本质是扫描器请求时碰到了部署路径不匹配的情况，但只要扫描器请求到正确路径的那一次，就会完整跑完整个激活流程，造成“用户没点链接账号就被激活”的异常。

可落地的修复方案 #

• 调整接口触发规则：修改verify.php的激活逻辑，禁止仅通过GET请求直接触发数据库更新，要求必须通过POST请求提交token才能执行状态更新——邮件扫描器的预抓取只会发起GET请求，碰到POST校验会直接被拦截，不会触发更新
• 增加二次交互环节：邮件链接跳转后不要直接执行激活逻辑，先加载一个静态确认页，提示用户“点击按钮完成账号激活”，等用户主动点击按钮、发起携带token的真实请求时，再执行数据库更新
• 优化邮件内链接的展示形式：不要将带查询参数的完整激活链接直接写在href属性中，可以将链接指向一个通用的验证落地页，引导用户在页面内主动提交验证请求，避免被自动扫描器识别为可直接执行的操作链接
• 增加token时效冷却校验：给注册生成的token增加10-15分钟的冷却期，注册刚完成时就算请求携带正确token，也直接拦截不执行更新，等冷却期过后再允许正常激活——扫描器是在邮件生成的瞬间就发起预请求，必然落在冷却期内，不会触发异常更新

内容的提问来源于stack exchange，提问作者Thomash