Как безопасно реализовать подтверждение аукциона?

Question

[Ян Александров]

Есть страница с аукционным товаром. Незарегистрированный пользователь вводит ставку и свою почту. WP отправляет письмо на указанную почту со ссылкой для подтверждения ставки.

Вопрос 1: как безопасно реализовать ссылку подтверждения?
Пока формирую url так:

http://site.ru/aukczionnyj-tovar/?action=bid_confirmation&product_id=173&nonce=bc8f1cbaba&bid=300&email=mail%40gmail.com

В момент подтверждения ставка записывается в произвольное поле поста.
На сколько я знаю nonce работает 12-24 часов. Условно nonce я могу увидеть в исходном коде, так как он выводится через wp_localize_script. Выходит написанный url выше позволяет провести атаку в ручном режиме?

Вопрос 2: Необходимо вывести результат при переходе по ссылке. Что-то типа этого: "Ставка сделана!". Какой хук использовать?

Вопрос 3: как запретить передавать через url левые email
Заранее благодарю за любые советы.

Comments

[Mikhail Kobzarev]

Как минимум стоит упомянуть nonce, которые могут жить вечно и работать через WP REST API.

[Ян Александров]

Михаил Кобзарев, проблема в том, что nonce можно посмотреть в исходном коде.
Сделал так: при отправке письма к аукционному товару создаю уникальный код и записываю в произвольное поле. Код отправляю в ссылке. При переходе по ссылке проверяю, есть ли он у товара. Если есть, делаю ставку и уничтожаю произвольное поле.

[xmoonlight]

Ян Александров, Оформите это ответом, пожалуйста.