Xử lý đăng ký, xác nhận tài khoản bằng email trong PHP

use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\Exception;

$mail = new PHPMailer(true);
try {
    $mail->isSMTP();
    $mail->Host = 'smtp.gmail.com';
    $mail->SMTPAuth = true;
    $mail->Username = 'your-email@gmail.com';
    $mail->Password = 'your-app-password';
    $mail->SMTPSecure = PHPMailer::ENCRYPTION_STARTTLS;
    $mail->Port = 587;

    $mail->setFrom('your-email@gmail.com', 'Your Website');
    $mail->addAddress($email, $username);

    $mail->isHTML(true);
    $mail->Subject = 'Xác nhận tài khoản của bạn';
    $mail->Body = "Xin chào $username,<br>Vui lòng click vào link sau để xác nhận tài khoản:<br><a href='$verifyLink'>$verifyLink</a>";

    $mail->send();
    echo "Đăng ký thành công. Vui lòng kiểm tra email để xác nhận tài khoản.";
} catch (Exception $e) {
    echo "Không thể gửi email. Lỗi: {$mail->ErrorInfo}";
}

Email này sẽ chứa link xác nhận, khi user click vào, họ sẽ được đưa đến verify.php.

Xử lý link xác nhận trong verify.php

Khi người dùng click link trong email, hệ thống cần kiểm tra token trong DB. Nếu token tồn tại và hợp lệ, ta đổi status từ inactive sang active.

<?php
$pdo = new PDO("mysql:host=localhost;dbname=mydb;charset=utf8", "root", "");
$token = $_GET['token'] ?? '';

$stmt = $pdo->prepare("SELECT * FROM users WHERE verify_token = ?");
$stmt->execute([$token]);
$user = $stmt->fetch(PDO::FETCH_ASSOC);

if ($user) {
    $stmt = $pdo->prepare("UPDATE users SET status = 'active', verify_token = NULL WHERE id = ?");
    $stmt->execute([$user['id']]);
    echo "Tài khoản của bạn đã được xác nhận thành công.";
} else {
    echo "Token không hợp lệ hoặc đã được sử dụng.";
}

Ở đây, ta đảm bảo rằng token chỉ sử dụng một lần (sau khi xác nhận sẽ set về NULL). Điều này ngăn chặn việc lạm dụng link cũ.

Tích hợp với hệ thống đăng nhập

Sau khi tài khoản đã xác thực, người dùng có thể đăng nhập bình thường. Ở bước đăng nhập, ta cần kiểm tra status. Nếu inactive, hiển thị thông báo yêu cầu xác nhận email trước.

$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$email]);
$user = $stmt->fetch(PDO::FETCH_ASSOC);

if ($user && password_verify($password, $user['password'])) {
    if ($user['status'] === 'active') {
        $_SESSION['user_id'] = $user['id'];
        echo "Đăng nhập thành công.";
    } else {
        echo "Tài khoản chưa được xác nhận. Vui lòng kiểm tra email.";
    }
} else {
    echo "Sai email hoặc mật khẩu.";
}

Điều này đảm bảo rằng chỉ những tài khoản đã xác minh mới có quyền truy cập hệ thống.

Các lưu ý bảo mật

• Sử dụng password_hash và password_verify thay cho md5/sha1.

• Token phải ngẫu nhiên và đủ dài, tránh bị đoán.

• Xác nhận email trước khi cho phép đăng nhập, tránh spam.

• Link xác nhận nên có thời hạn (ví dụ 24h), có thể thêm trường token_expires vào DB.

• PHPMailer nên dùng App Password hoặc SMTP riêng, không dùng mật khẩu email chính.

• Escape dữ liệu output (htmlspecialchars) để tránh XSS khi hiển thị thông tin user.

Kết luận

Qua bài viết này, bạn đã nắm được cách xây dựng hệ thống đăng ký và xác nhận tài khoản bằng email trong PHP. Chúng ta đã đi qua các bước: tạo bảng users, form đăng ký, hash mật khẩu, sinh token, gửi email xác nhận bằng PHPMailer, xử lý verify link, và tích hợp với đăng nhập.

Khi kết hợp với các module đã học như CRUD trong PHP, Session, password_hash, bạn có thể dễ dàng mở rộng thành một hệ thống user management hoàn chỉnh, bảo mật và chuyên nghiệp.