peti mel selamat

Peti Mel Keselamatan PHP

Dalam skrip E-Mel PHP di bahagian sebelumnya, terdapat celah

· Filter_sanitize_email filter Alih keluar aksara haram e-mel daripada rentetan

· FILTER_VALIDATE_EMAIL penapis mengesahkan nilai alamat e-mel

Suntikan E-mel PHP

Pertama, ambil lihat kod PHP dari bab sebelumnya:

<html>
 <head>
 <meta charset="utf-8">
 <title>php中文网(php.cn)</title>
 </head>
 <body>
 
 <?php
 if (isset($_REQUEST['email'])) { // 如果接收到邮箱参数则发送邮件
 // 发送邮件
 $email = $_REQUEST['email'] ;
 $subject = $_REQUEST['subject'] ;
 $message = $_REQUEST['message'] ;
 mail("someone@example.com", $subject,
 $message, "From:". $email);
 echo "邮件发送成功";
 } else { // 如果没有邮箱参数则显示表单
 echo "<form method='post' action=''>
    Email: <input name='email' type='text'><br>
    Subject: <input name='subject' type='text'><br>
    Message:<br>
 <textarea name='message' rows='15' cols='40'>
 </textarea><br>
 <input type='submit'>
 </form>";
 }
 ?>
 
 </body>
 </html>

Masalah dengan kod di atas ialah pengguna yang tidak dibenarkan boleh memasukkan data dalam pengepala e-mel melalui borang input.

Apakah yang akan berlaku jika pengguna menambah teks berikut pada e-mel dalam kotak input dalam borang?

someone@example.com%0ACc:person2@example.com
%0ABcc:person3@example.com,person3@example.com,
onetherperson4@example.com,person5@example. com
%0ABTo:person6@example.com

Seperti biasa, fungsi mail() meletakkan teks di atas ke dalam pengepala e-mel, jadi sekarang pengepala itu mempunyai tambahan Cc:, Bcc: dan Kepada: medan. Apabila pengguna mengklik butang hantar, e-mel ini akan dihantar ke semua alamat di atas!

PHP Cegah Suntikan E-mel

Cara terbaik untuk menghalang suntikan e-mel adalah dengan mengesahkan input.

Kod berikut adalah serupa dengan kod dalam bab sebelumnya, tetapi di sini kami telah menambah pengesah input untuk mengesan medan e-mel dalam bentuk:

Dalam kod di atas, kami menggunakan PHP penapisan Penapis untuk mengesahkan input: Nilai

Meneruskan pembelajaran

fail baharu

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
<html>
<head>
 <meta charset="utf-8">
 <title>php中文网(php.cn)</title>
</head>
<body>
<?php
function spamcheck($field)
{
 // filter_var() 过滤 e-mail
 // 使用 FILTER_SANITIZE_EMAIL
 $field=filter_var($field, FILTER_SANITIZE_EMAIL);
 //filter_var() 过滤 e-mail
 // 使用 FILTER_VALIDATE_EMAIL
 if(filter_var($field, FILTER_VALIDATE_EMAIL))
 {
 return TRUE;
 }
 else
 {
 return FALSE;
 }
}
if (isset($_REQUEST['email']))
{
 // 如果接收到邮箱参数则发送邮件
 // 判断邮箱是否合法
 $mailcheck = spamcheck($_REQUEST['email']);
 if ($mailcheck==FALSE)
 {
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX