Как показать блок, отследив get параметр?

Question

[Hello World]

Здравствуйте.
У меня следующая ситуация: есть главная страница - index.php, на которой юзер может авторизоваться/зарегаться/восстановить пароль(нажав на иконку личного кабинета) через модальное окно путем технологии AJAX.

Когда юзер восстанавливает забытый пароль ему на почту приходит письмо, в котором есть ссылка примерно такого вида :
domain.ru/index.php?resetpass=$id&code=$code
id = айди юзера(шифрованное) + код(также шифруется для восстановления).
Почему такая ссылка? Потому что я хочу, чтобы при клике по этой ссылке в письме, на моём сайте сразу открывалось модальное окно (типа как вверху картинка авторизации), в котором будут поля для восстановления пароля. Также, пользуяясь AJAXом, чтобы не было перезагрузки при восстановлении пароля.
Вопрос: Как это реализовать? И вообще возможно ли?
Просто я не хочу перенаправлять юзера на другую страницу в письме, например. domain.ru/resetpass.php и т.д.

Comments

[tommy_13]

можно на стороне php добавлять на страницу вызов, который будет открывать модальное окно

Answer 1

[Stalker_RED]

if (location.href.indexOf('resetpass') !== -1) {
   // show block
}

https://developer.mozilla.org/ru/docs/Web/API/Location

P.S.:
Если у вас там не очень крутое шифрование, то возможно стоит опасаться того, что злоумышленник сбрутфорсит ссылку.

Comments

[Hello World]

если не поставить крутое шифрование, то как избежать этого?

[Stalker_RED]

Hello World: Одноразовый и полностью случайный токен. А соответствующий айди юзера хранится у вас в базе и нигде не светится.

[Hello World]

Stalker_RED: токен я создаю через md5(uniqid(rand())); а id = в base64 . Это слабовато, да?))

[Stalker_RED]

Hello World: Я регистрирую парочку аккаунтов, убеждаюсь в том, что id закодирован при помощи base64. Это вообще не шифрование а кодировка. Зная чужой userId генерирую соответствующую строку и начинаю брутфорсить токен. Что меня остановит?

Кроме того, прочтите текст на желтой и красной плашке php.net/manual/ru/function.uniqid.php

[Hello World]

Stalker_RED: bin2hex(random_bytes(md5(strlen($email)))) выгодно или не очень для токена?, что скажите?

[Stalker_RED]

Hello World: Скажу, что вы бы хоть читали описание функции. random_bytes принимает на вход длину желаемого результата а вы туда md5(strlen(email)) передает зачем-то.

И вообще, strlen(email) будет очень часто давать одинаковые результаты, и у вам будет множество одинаковых md5.

[Hello World]

Stalker_RED: Stalker_RED: "random_bytes принимает на вход длину желаемого результата", так разве strlen не считает длину моего майла? Вроде бы как и считает

[Stalker_RED]

Hello World: Считает, да. Но потом вы делаете md5() от этой длины. Вы смотрели описание этой ф-ции?
Она выдает md5 хеш фиксированной длины. И у вас будет множество одинаковых хешей для всех ползователей у которых одинаковая длина имейла.

[Hello World]

Stalker_RED: да, я думал она немного иначе будет работать. Значит мне убрать хеш md5 и будет нормально?

[Stalker_RED]

Hello World: И будете получать random_bytes длина которого будет зависеть от длины имейла? А зачем такая зависимость?

Лучше сделать фиксированную длину, например так:
base64_encode(random_bytes(32)) Получите строку длиной в 44 случайных символа в base64.

[Hello World]

Stalker_RED: понял. спасибо за помощь!