E-mails sécurisés PHP

Dans le script de messagerie PHP de la section précédente, il existe une vulnérabilité.

Injection d'e-mail PHP

Tout d'abord, veuillez regarder le code PHP du chapitre précédent :

<html>
<head>
<meta charset="utf-8">
<title> php中文网(php.cn)</title>
</head>
<body>
<?php
if (isset($_REQUEST['email'])) { // 如果接收到邮箱参数则发送邮件
         // 发送邮件
         $email = $_REQUEST['email'] ;
         $subject = $_REQUEST['subject'] ;
         $message = $_REQUEST['message'] ;
         mail("someone@example.com", $subject,
         $message, "From:" . $email);
         echo "邮件发送成功";
} else { // 如果没有邮箱参数则显示表单
         echo "<form method='post' action='mailform.php'>
         Email: <input name='email' type='text'><br>
         Subject: <input name='subject' type='text'><br>
         Message:<br>
         <textarea name='message' rows='15' cols='40'>
         </textarea><br>
         <input type='submit'>
         </form>";
}
?>
</body>
</html>

Le code ci-dessus Le problème est que des utilisateurs non autorisés peuvent insérer des données dans l'en-tête de l'e-mail via le formulaire de saisie.

Que se passera-t-il si l'utilisateur ajoute le texte suivant à l'e-mail dans la zone de saisie du formulaire ?

quelqu'un@exemple.com%0ACc:person2@exemple.com

%0ABcc:person3@exemple.com,person3@exemple.com,

une autre personne4@exemple. com,person5@example.com

%0ABTo:person6@example.com

Comme d'habitude, la fonction mail() place le texte ci-dessus dans l'en-tête de l'e-mail, donc maintenant l'en-tête a des éléments supplémentaires Les champs Cc:, Bcc: et To: ont été ajoutés. Lorsque l'utilisateur clique sur le bouton Soumettre, cet e-mail sera envoyé à toutes les adresses ci-dessus !

PHP empêche l'injection d'e-mails

La meilleure façon d'empêcher l'injection d'e-mails est de valider l'entrée.

Le code suivant est similaire à celui du chapitre précédent, mais ici nous avons ajouté un validateur d'entrée pour détecter le champ email dans le formulaire :

<html>
<head>
<meta charset="utf-8">
<title> php中文网(php.cn)</title>
</head>
<body>
<?php
function spamcheck($field)
{
         // filter_var() 过滤 e-mail
         // 使用 FILTER_SANITIZE_EMAIL
         $field=filter_var($field, FILTER_SANITIZE_EMAIL);
 
         //filter_var() 过滤 e-mail
         // 使用 FILTER_VALIDATE_EMAIL
         if(filter_var($field, FILTER_VALIDATE_EMAIL))
         {
                 return TRUE;
         }
         else
         {
                 return FALSE;
         }
}
 
if (isset($_REQUEST['email']))
{
         // 如果接收到邮箱参数则发送邮件
 
         // 判断邮箱是否合法
         $mailcheck = spamcheck($_REQUEST['email']);
         if ($mailcheck==FALSE)
         {
                 echo "非法输入";
         }
         else
         {       
                 // 发送邮件
                 $email = $_REQUEST['email'] ;
                  $subject = $_REQUEST['subject'] ;
                 $message = $_REQUEST['message'] ;
                 mail("someone@example.com", "Subject: $subject",
                 $message, "From: $email" );
                 echo "Thank you for using our mail form";
         }
}
else
{
         // 如果没有邮箱参数则显示表单
         echo "<form method='post' action='mailform.php'>
         Email: <input name='email' type='text'><br>
         Subject: <input name='subject' type='text'><br>
         Message:<br>
         <textarea name='message' rows='15' cols='40'>
         </textarea><br>
         <input type='submit'>
         </form>";
}
?>
</body>
</html>

Dans le code ci-dessus, nous utilisons Filtre PHP pour valider la saisie :

Le filtre FILTER_SANITIZE_EMAIL supprime les caractères illégaux de l'email de la chaîne

· Le filtre FILTER_VALIDATE_EMAIL valide la valeur de l'adresse email

Vous pouvez lire plus d'informations sur les filtres dans notre filtre PHP.

Formation continue

nouveau fichier

<html> <head> <meta charset="utf-8"> <title> php中文网(php.cn)</title> </head> <body> <?php function spamcheck($field) { // filter_var() 过滤 e-mail // 使用 FILTER_SANITIZE_EMAIL $field=filter_var($field, FILTER_SANITIZE_EMAIL); //filter_var() 过滤 e-mail // 使用 FILTER_VALIDATE_EMAIL if(filter_var($field, FILTER_VALIDATE_EMAIL)) { return TRUE; } else { return FALSE; } } if (isset($_REQUEST['email'])) { // 如果接收到邮箱参数则发送邮件 // 判断邮箱是否合法 $mailcheck = spamcheck($_REQUEST['email']); if ($mailcheck==FALSE) { echo "非法输入"; } else { // 发送邮件 $email = $_REQUEST['email'] ; $subject = $_REQUEST['subject'] ; $message = $_REQUEST['message'] ; mail("someone@example.com", "Subject: $subject", $message, "From: $email" ); echo "Thank you for using our mail form"; } } else { // 如果没有邮箱参数则显示表单 echo "<form method='post' action='mailform.php'> Email: <input name='email' type='text'><br> Subject: <input name='subject' type='text'><br> Message:<br> <textarea name='message' rows='15' cols='40'> </textarea><br> <input type='submit'> </form>"; } ?> </body> </html>

soumettre Réinitialiser le code

Opération automatique

E-mails sécurisés PHP

ÉlémentaireTutoriel de site Web d'imitation d'entreprise Imperial CMS

ÉlémentaireLes débutants sans aucune base dans WordPress créent des blogs personnels et des sites Web d'entreprise

ÉlémentaireVidéo d'instructions sur la création de sites Web à base zéro Ultimate CMS

ÉlémentaireProjet front-end-Shangyou [Pratique complète de la technologie HTML/CSS/JS]

IntermédiaireVue3.0 de 0 pour créer une pratique de projet de système de gestion backend universel

ÉlémentaireCours frontal base zéro [Vue apprentissage avancé et application pratique]

ÉlémentaireTutoriel WEB front-end [HTML5+CSS3+JS]

ÉlémentaireIntroduction rapide à apipost

IntermédiaireTutoriel pratique Vue3+TypeScript au niveau de l'entreprise

ÉlémentaireParlons brièvement de la création d'une entreprise en PHP

IntermédiaireProjet de commerce électronique VUE (combat réel de projet double front-end et back-end)

ÉlémentaireApplication pratique Apipost [api, interface, tests automatisés, mock]