3

如今，从 PHP 电子邮件表单中清理数据的最佳实践是什么？

我目前正在使用这样的东西......

$msg = $_POST['msg'];
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
$name = $_POST['name'];

$subject = "Message from the MY_WEBSITE website e-mail system";
$message = "From: " . $name . "\n";
$message .= "Email: " . $email . "\n\n";
$message .= $msg;
$headers = "From: " . $email . "\r\n" .
           "Reply-To: " . $email . "\r\n" .
           "X-Mailer: PHP/" . phpversion();

$mailSuccess = mail("me@example.com", $subject, $message, $headers);

以这种方式简单地过滤电子邮件字段是否足够保护？我可以/应该更有效地强化脚本以防止垃圾邮件发送者吗？

提前致谢！

[编辑]澄清，因为到目前为止的答案表明我没有很好地解释自己。

我主要关心的不是垃圾邮件机器人获取这个脚本，而是任何人利用它向任何地址发送非法电子邮件，而不是me@example.com. 这可能包括一个机器人，但也可能是一个击败 CAPTCHA 测试的人。

我正在寻找的是 PHP，它将确保 mail() 方法发送的电子邮件不被劫持。这可能是一个简单地去除某些字符的正则表达式或过滤器或类似的。再次感谢。[/编辑]

4

1 回答 1

2

我会这样做：

  • 使用验证码；
  • 如果主题或正文包含任何 HTML 标签，则发送失败。注意：我没有说把它们去掉。只是不要发送电子邮件并向用户提供错误消息原因。向自己发送经过过滤的垃圾邮件毫无意义。只是不要发送它；
  • 去掉任何高位或低位字符（filter_vars() 可以做到这一点）；
  • 将消息限制为 4000 个字符（或您选择的其他适当限制）；
  • 如果消息包含任何不指向当前站点的 URL，则失败；
  • 可以说使用了如何阻止脚本编写者每秒数百次抨击您的网站中的一些技术？以确保有人发送消息。
于 2009-05-05T08:47:36.427 回答