никак не делать.
всё равно этот говнокод позволит любому придурку зайти вообще не зная ключа, а тупо через инъекцию.
ну и какой смысл тогда проверять?
Надо сначала научиться работать с БД правильно
<?php
session_start();
require_once 'connect.php';
$key = $_POST["key"];
$stmt = $connect->prepare("SELECT * FROM `keys` WHERE `key` = ?");
$stmt->bind_param("s", $key);
$stmt->execute();
$result = $stmt->get_result();
$user = $result->fetch_assoc();
if ($user) {
$_SESSION['key'] = $user;
header('Location: ../profile.php');
exit;
} else {
$_SESSION['msg'] ='Неправильный ключ';
header('Location: ../index.php');
exit;
}
И потом в индексе вывести $_SESSION['msg'] как угодно и удалить
