0

我使用 jQuery 创建了一个 AJAX 提交表单并使用 PHP 处理表单邮件程序（如下所示。）根据下面的代码，从 AJAX/jQuery 表单接收的内容中转义超全局 $_POST 变量的最佳方法是什么? 可以将 trim() 函数包装在 htmlspecialchars() 函数中吗？在发送 php 邮件程序时，我必须关注哪种类型的安全性，因为电子邮件的内容没有被插入到数据库中。

<?php

    $content_link = trim($_POST['content_link']);
    $email = trim($_POST['email']);
    $viewport_size = trim($_POST['viewportsize']);
    $browser = trim($_POST['browser']);
    $os = trim($_POST['os']);
    $current_page = trim($_POST['current_page']);

    $to = '<example@example.com>';      
    $from = '<' . $email . '>';
    $subject = 'Form Submission';   
    $message = '
    <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" 
    "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
    <html xmlns="http://www.w3.org/1999/xhtml">
    <head></head>
    <body>
    <table>
        <tr><td>Content Link:</td><td>' . nl2br($content_link) . '</td></tr>
        <tr><td>Email:</td><td>' . $email . '</td></tr>
        <tr><td>Viewport Size:</td><td>' . $viewport_size . '</td></tr>
        <tr><td>Browser/OS:</td><td>' . $browser . '/' . $os . '</td></tr>
        <tr><td>Current Page:</td><td>' . $current_page . '</td></tr>
    </table>
    </body>
    </html>';

    $headers = "MIME-Version: 1.0" . "\r\n";
    $headers .= "Content-type:text/html;charset=iso-8859-1" . "\r\n";
    $headers .= 'From: ' . $from . "\r\n";

    mail($to,$subject,$message,$headers);
4

3 回答 3

0

如果要去除 HTML 实体的所有输入，还可以使用 strip_tags() 函数。

strip_tags() 示例

于 2013-03-11T17:14:42.393 回答
0

在字段上使用正则表达式这是一种方法，另一种方法是使用 filter_var('bob@example.com', FILTER_VALIDATE_EMAIL)你可以将很多标志传递给 filter_var($_POST['content'], FILTER_SANITIZE_STRING) 有很多过滤器所以看看文档，请特别注意电子邮件，因为有人可能会注入 CC BCC。htmlentities，htmlcharacters，我的意思是有很多方法可以完成这项工作，我可能会使用 regex 或 filter_var。

于 2013-03-11T17:16:42.187 回答
0

您可以简单地将 htmlentities 函数包装在变量周围，因为您没有进行任何数据库调用。您还可以通过仅使用提取函数来简化为帖子分配变量的过程

<?php

    extract($_POST);

    $to = '<example@example.com>';      
    $from = '<' . $email . '>';
    $subject = 'Form Submission';   
    $message = '
    <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" 
    "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
    <html xmlns="http://www.w3.org/1999/xhtml">
    <head></head>
    <body>
    <table>
        <tr><td>Content Link:</td><td>' . nl2br(htmlentities(trim($content_link))) . '</td></tr>
        <tr><td>Email:</td><td>' . htmlentities(trim($email)) . '</td></tr>
        <tr><td>Viewport Size:</td><td>' . htmlentities(trim($viewportsize)) . '</td></tr>
        <tr><td>Browser/OS:</td><td>' . htmlentities(trim($browser)) . '/' . htmlentities(trim($os)) . '</td></tr>
        <tr><td>Current Page:</td><td>' . htmlentities(trim($current_page)) . '</td></tr>
    </table>
    </body>
    </html>';

    $headers = "MIME-Version: 1.0" . "\r\n";
    $headers .= "Content-type:text/html;charset=iso-8859-1" . "\r\n";
    $headers .= 'From: ' . $from . "\r\n";

    mail($to,$subject,$message,$headers);
于 2013-03-11T17:10:53.557 回答