PHP 安全的电子邮件

在上一节中的 PHP e-mail 脚本中，存在着一个漏洞。

PHP E-mail 注入

首先，请看上一节中的 PHP 代码：

  1. <html>
  2. <body>
  3. <?php
  4. if (isset($_REQUEST['email']))
  5. //if "email" is filled out, send email
  6.   {
  7.   //send email
  8.   $email = $_REQUEST['email'] ; 
  9.   $subject = $_REQUEST['subject'] ;
  10.   $message = $_REQUEST['message'] ;
  11.   mail("someone@example.com", "Subject: $subject",
  12.   $message, "From: $email" );
  13.   echo "Thank you for using our mail form";
  14.   }
  15. else
  16. //if "email" is not filled out, display the form
  17.   {
  18.   echo "<form method='post' action='mailform.php'>
  19.   Email: <input name='email' type='text' /><br />
  20.   Subject: <input name='subject' type='text' /><br />
  21.   Message:<br />
  22.   <textarea name='message' rows='15' cols='40'>
  23.   </textarea><br />
  24.   <input type='submit' />
  25.   </form>";
  26.   }
  27. ?>
  28. </body>
  29. </html>

以上代码存在的问题是，未经授权的用户可通过输入表单在邮件头部插入数据。
假如用户在表单中的输入框内加入这些文本，会出现什么情况呢？

  1. someone@example.com%0ACc:person2@example.com
  2. %0ABcc:person3@example.com,person3@example.com,
  3. anotherperson4@example.com,person5@example.com
  4. %0ABTo:person6@example.com

与往常一样，mail() 函数把上面的文本放入邮件头部，那么现在头部有了额外的 Cc:, Bcc: 以及 To: 字段。当用户点击提交按钮时，这封 e-mail 会被发送到上面所有的地址！

PHP 防止 E-mail 注入

防止 e-mail 注入的最好方法是对输入进行验证。
下面的代码与上一节类似，不过我们已经增加了检测表单中 email 字段的输入验证程序：

  1. <html>
  2. <body>
  3. <?php
  4. function spamcheck($field)
  5.   {
  6.   //filter_var() sanitizes the e-mail 
  7.   //address using FILTER_SANITIZE_EMAIL
  8.   $field=filter_var($field, `FILTER_SANITIZE_EMAIL`);
  10.   //filter_var() validates the e-mail
  11.   //address using FILTER_VALIDATE_EMAIL
  12.   if(filter_var($field, `FILTER_VALIDATE_EMAIL`))
  13.     {
  14.     return TRUE;
  15.     }
  16.   else
  17.     {
  18.     return FALSE;
  19.     }
  20.   }
  21. if (isset($_REQUEST['email']))
  22.   {//if "email" is filled out, proceed
  23.   //check if the email address is invalid
  24.   $mailcheck = spamcheck($_REQUEST['email']);
  25.   if ($mailcheck==FALSE)
  26.     {
  27.     echo "Invalid input";
  28.     }
  29.   else
  30.     {//send email
  31.     $email = $_REQUEST['email'] ; 
  32.     $subject = $_REQUEST['subject'] ;
  33.     $message = $_REQUEST['message'] ;
  34.     mail("someone@example.com", "Subject: $subject",
  35.     $message, "From: $email" );
  36.     echo "Thank you for using our mail form";
  37.     }
  38.   }
  39. else
  40.   {//if "email" is not filled out, display the form
  41.   echo "<form method='post' action='mailform.php'>
  42.   Email: <input name='email' type='text' /><br />
  43.   Subject: <input name='subject' type='text' /><br />
  44.   Message:<br />
  45.   <textarea name='message' rows='15' cols='40'>
  46.   </textarea><br />
  47.   <input type='submit' />
  48.   </form>";
  49.   }
  50. ?>
  51. </body>
  52. </html>

在上面的代码中，我们使用了 PHP 过滤器来对输入进行验证：

  • FILTER_SANITIZE_EMAIL 从字符串中删除电子邮件的非法字符
  • FILTER_VALIDATE_EMAIL 验证电子邮件地址
    您可以在我们的 PHP 过滤器这一节中阅读更多有关过滤器的内容。