我已经为我的应用程序学习REST API几个月了。 我建立了一个具有登录，注册，重置密码，更改密码的项目。 但是我在更新用户映像时遇到逻辑麻烦。
例如；当我更改用户密码时，将使用此密码；
/api/user/updatePassword/{email}/{token}/{password}
我验证电子邮件中的代码（令牌）。如果它的真值和令牌未过期，请更改！ （顺便说一句，令牌是我发送给用户的代码，实际上不是令牌）
但是我的用户照片中没有选项。当用户使用后端之类的时候；
"change the user photo which has this e-mail"作为API可能会出现安全问题。
我该如何解决？最佳实践是什么？
（我使用PHP Slim框架和MySQL）