PHP 安全的电子邮件

在上一节中的 PHP e-mail 脚本中，存在着一个漏洞。

PHP E-mail 注入

首先，请看上一节中的 PHP 代码：

  1. <html>
  2. <body>
  3.  
  4. <?php
  5. if (isset($_REQUEST['email']))
  6. //if "email" is filled out, send email
  7.   {
  8.   //send email
  9.   $email = $_REQUEST['email'] ; 
  10.   $subject = $_REQUEST['subject'] ;
  11.   $message = $_REQUEST['message'] ;
  12.   mail("someone@example.com", "Subject: $subject",
  13.   $message, "From: $email" );
  14.   echo "Thank you for using our mail form";
  15.   }
  16. else
  17. //if "email" is not filled out, display the form
  18.   {
  19.   echo "<form method='post' action='mailform.php'>
  20.   Email: <input name='email' type='text' /><br />
  21.   Subject: <input name='subject' type='text' /><br />
  22.   Message:<br />
  23.   <textarea name='message' rows='15' cols='40'>
  24.   </textarea><br />
  25.   <input type='submit' />
  26.   </form>";
  27.   }
  28. ?>
  29.  
  30. </body>
  31. </html>

以上代码存在的问题是，未经授权的用户可通过输入表单在邮件头部插入数据。

假如用户在表单中的输入框内加入这些文本，会出现什么情况呢？

  1. someone@example.com%0ACc:person2@example.com
  2. %0ABcc:person3@example.com,person3@example.com,
  3. anotherperson4@example.com,person5@example.com
  4. %0ABTo:person6@example.com

与往常一样，mail() 函数把上面的文本放入邮件头部，那么现在头部有了额外的 Cc:, Bcc: 以及 To: 字段。当用户点击提交按钮时，这封 e-mail 会被发送到上面所有的地址！

PHP 防止 E-mail 注入

防止 e-mail 注入的最好方法是对输入进行验证。

下面的代码与上一节类似，不过我们已经增加了检测表单中 email 字段的输入验证程序：

  1. <html>
  2. <body>
  3. <?php
  4. function spamcheck($field)
  5.   {
  6.   //filter_var() sanitizes the e-mail 
  7.   //address using FILTER_SANITIZE_EMAIL
  8.   $field=filter_var($field, FILTER_SANITIZE_EMAIL);
  9.  
  10.   //filter_var() validates the e-mail
  11.   //address using FILTER_VALIDATE_EMAIL
  12.   if(filter_var($field, FILTER_VALIDATE_EMAIL))
  13.     {
  14.     return TRUE;
  15.     }
  16.   else
  17.     {
  18.     return FALSE;
  19.     }
  20.   }
  21.  
  22. if (isset($_REQUEST['email']))
  23.   {//if "email" is filled out, proceed
  24.  
  25.   //check if the email address is invalid
  26.   $mailcheck = spamcheck($_REQUEST['email']);
  27.   if ($mailcheck==FALSE)
  28.     {
  29.     echo "Invalid input";
  30.     }
  31.   else
  32.     {//send email
  33.     $email = $_REQUEST['email'] ; 
  34.     $subject = $_REQUEST['subject'] ;
  35.     $message = $_REQUEST['message'] ;
  36.     mail("someone@example.com", "Subject: $subject",
  37.     $message, "From: $email" );
  38.     echo "Thank you for using our mail form";
  39.     }
  40.   }
  41. else
  42.   {//if "email" is not filled out, display the form
  43.   echo "<form method='post' action='mailform.php'>
  44.   Email: <input name='email' type='text' /><br />
  45.   Subject: <input name='subject' type='text' /><br />
  46.   Message:<br />
  47.   <textarea name='message' rows='15' cols='40'>
  48.   </textarea><br />
  49.   <input type='submit' />
  50.   </form>";
  51.   }
  52. ?>
  53.  
  54. </body>
  55. </html>

在上面的代码中，我们使用了 PHP 过滤器来对输入进行验证：

  • FILTER_SANITIZE_EMAIL 从字符串中删除电子邮件的非法字符
  • FILTER_VALIDATE_EMAIL 验证电子邮件地址

您可以在我们的 PHP 过滤器这一节中阅读更多有关过滤器的内容。