Confirmación de registro

Te respondiste solo la pregunta sobre el sql injection, debes sanitizar el token (al igual que TODAS las entradas que recibe tu script) y voila.

Sobre la caducidad del token, registra en alguna parte la fecha de emisión del token, entonces cuando tu script reciba la confirmacion, haces la resta fecha_actual - fecha_guardada, si el resultado es mayor a un numero de tu elección significa que el token caducó.

Saludos.

facil cuando tomas el token por get le haces una limpieza de caracteres especiales y le haces limpiado de palabras clave, es decir le quietas todas las comillas simple, doble, puntos, comas, punto y coma, update, select, drop etc de esta forma dejas el token sin que te puedan hacer un sql injection, ya que le quitas toda posibilidad de que el codigo incluya un drop o un update dentro de la variable, al igual que la posibilidad de que te ejecuten una sentencia adicional en la consulta