Mentre scrivevo il codice del server per invia nuovamente la pagina di conferma mi è venuto in mente qualcosa: un utente malintenzionato potrebbe fare diverse richieste a /resendemail?user=blah (esempio URL) e inondare tale utente con e-mail di registrazione (ovviamente, come a patto che l'utente esista e non abbia confermato la sua email).
La mia prima idea era di limitare la richiesta per sessione, tuttavia, questo può essere aggirato molto facilmente. Il limite per-IP è troppo difficile da implementare e può anche essere bypassato (cioè utilizzando diversi proxy), quindi sono sicuro che ci sia qualcosa di abbastanza semplice da mitigare questo tipo di exploit.