0

我想知道这些预防措施是否足够。

我有一个像这样的 html 表单index.php：

<form action="<?php echo $_SERVER['PHP_SELF'];?>" method="post">
    <select name="Alimento">
        <option value="someValue">An option</option>
    </select>
    Nombre*:<?php echo $error['name'];?><br /><input type="text" name="fname" value="<?php echo $name; ?>"/><br />
    Mail*:<?php echo $error['mail'];?><br /><input type="text" name="mail" value="<?php echo $mail; ?>"/><br />
    <input id="botonComprar" type="image" src="img/comprar.png" name="submit" width="126" height="42">
</form>

现在在文件的顶部我有：

if($_SERVER['REQUEST_METHOD'] == "POST") {
    $alimento = filter_input(INPUT_POST, 'Alimento', FILTER_SANITIZE_SPECIAL_CHARS);
    $name = filter_input(INPUT_POST, 'fname', FILTER_SANITIZE_SPECIAL_CHARS);
    $mail    = filter_input(INPUT_POST, 'mail', FILTER_VALIDATE_EMAIL);

    if($name == '') {
        $error['name'] = '<span class="errorMsg"> Ingrese su nombre</span>';

    }
    if($mail == '') {
        $error['mail'] = '<span class="errorMsg"> Ingrese su mail</span>';
    }
    if($phone == '') {
        $error['phone'] = '<span class="errorMsg"> Ingrese su tel&eacute;fono</span>';
    }
...

我后来这样做：

if(empty($error)){
    mail($mail, $subject, $alimento, $headers);
}

这当然是简化的，但它显示了它的要点。

所以我的问题是：

  • 我的代码中是否有任何重大漏洞被忽略？
  • 变量是否可以安全地作为表单中的值回显？
    • 我这样做是为了避免丢失填写的输入，这种方法正确吗？
  • 电子邮件是否正确验证？有什么办法可以利用邮件功能？
  • 我应该使用htmlspecialcharsand$alimento吗$name？
    • 是否有任何理由使用其他电子邮件验证技术？
4

1 回答 1

0

我的代码中是否有任何重大漏洞被忽略？

这里有很多 XSS 漏洞。值得注意的是，<form action="<?php echo $_SERVER['PHP_SELF'];?>"反射型 XSS 攻击向量（可能与社会工程结合使用）。

此外， mail($mail, $subject, $alimento, $headers);如果$headers是基于用户输入提供的，您可能会发现自己容易受到远程代码执行的影响。

我应该使用htmlspecialcharsand$alimento吗$name？

是ENT_QUOTES | ENT_HTML5的，用输出而不是输入代替默认值。

于 2018-10-01T19:42:05.067 回答