如何将PHP邮件中的GET跳转链接替换为POST方式？

首先得明确：邮件里的<a>标签本质上只能发起GET请求，没法直接触发POST。所以我们需要做个「中转页面」——用户点击邮件里的链接（还是GET，但只传安全的验证token，别直接传邮箱），然后这个页面自动用表单POST提交到重置密码的处理接口。

第一步：修改邮件内容，指向中转页面 #

先给用户生成一个唯一的重置token，存入数据库关联用户邮箱（比直接传邮箱安全得多，能防止恶意遍历邮箱刷请求），再把邮件里的链接改成指向中转页面：

// 生成安全的唯一重置token
$resetToken = bin2hex(random_bytes(32));
// 把token、用户邮箱、过期时间（比如1小时后）存入数据库
// 然后构造邮件内容
$txt = "Hello " . $user . ", <br><br>点击下面的链接重置密码：<a href='http://example.com/reset-landing?token=" . $resetToken . "'>重置密码</a>";

第二步：编写中转页面（reset-landing.php） #

这个页面会生成带隐藏字段的表单，页面加载完成后自动提交POST请求，同时给禁用JS的用户留手动提交的选项：

<!DOCTYPE html>
<html>
<head>
    <title>跳转到重置密码页面...</title>
    <script>
        // 页面加载完成后自动提交表单
        window.addEventListener('load', function() {
            document.getElementById('resetForm').submit();
        });
    </script>
</head>
<body>
    <p>正在跳转到重置密码页面...如果没反应，请点击 <a onclick="document.getElementById('resetForm').submit()">这里</a>。</p>
    
    <form id="resetForm" action="http://example.com/reset-password-handler.php" method="POST">
        <!-- 隐藏字段传递token，后端用token匹配对应用户 -->
        <input type="hidden" name="reset_token" value="<?php echo htmlspecialchars($_GET['token']); ?>">
    </form>
</body>
</html>

第三步：修改重置密码处理页面（reset-password-handler.php） #

现在这个页面接收POST过来的reset_token，先验证token的有效性（是否存在、是否过期），再获取对应用户信息：

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (!isset($_POST['reset_token'])) {
        die("无效的请求");
    }
    $resetToken = $_POST['reset_token'];
    // 从数据库查询token对应的用户：SELECT email FROM password_resets WHERE token = ? AND expires_at > NOW()
    // 如果验证通过，显示重置密码表单；否则提示token无效或已过期
}

额外安全提示 #

• 不要直接在链接里传递邮箱这类敏感信息，用带过期时间的唯一token更安全
• 中转页面记得用htmlspecialchars()转义token，防止XSS攻击
• 后端一定要严格验证token的有效性，拒绝过期或伪造的token

内容的提问来源于stack exchange，提问作者user979331