PHP 보안 메일함
이전 섹션의 PHP 이메일 스크립트에 허점이 있습니다
· Filter_sanitize_email 필터 제거 문자열
에서 이메일의 잘못된 문자 FILTER_VALIDATE_EMAIL 필터는 이메일 주소 값의 유효성을 검사합니다.
PHP 이메일 삽입
먼저, 이전 장의 PHP 코드를 살펴보세요:
<html>
<head>
<meta charset="utf-8">
<title>php中文网(php.cn)</title>
</head>
<body>
<?php
if (isset($_REQUEST['email'])) { // 如果接收到邮箱参数则发送邮件
// 发送邮件
$email = $_REQUEST['email'] ;
$subject = $_REQUEST['subject'] ;
$message = $_REQUEST['message'] ;
mail("someone@example.com", $subject,
$message, "From:". $email);
echo "邮件发送成功";
} else { // 如果没有邮箱参数则显示表单
echo "<form method='post' action=''>
Email: <input name='email' type='text'><br>
Subject: <input name='subject' type='text'><br>
Message:<br>
<textarea name='message' rows='15' cols='40'>
</textarea><br>
<input type='submit'>
</form>";
}
?>
</body>
</html>위 코드의 문제점은 승인되지 않은 사용자가 입력 양식을 통해 이메일 헤더에 데이터를 삽입할 수 있다는 것입니다.
사용자가 이메일 양식의 입력란에 다음 텍스트를 추가하면 어떻게 되나요?
someone@example.com%0ACc:person2@example.com
%0ABcc:person3@example.com,person3@example.com,
anotherperson4@example.com,person5@example. com
%0ABTo:person6@example.com
평소와 마찬가지로 mail() 함수는 위의 텍스트를 이메일 헤더에 넣으므로 이제 헤더에는 추가 참조:, 숨은 참조: 및 받는 사람: 필드. 사용자가 제출 버튼을 클릭하면 이 이메일이 위의 모든 주소로 전송됩니다!
PHP의 이메일 삽입 방지
이메일 삽입을 방지하는 가장 좋은 방법은 입력 내용을 검증하는 것입니다.
다음 코드는 이전 장의 코드와 유사하지만 여기에는 양식에서 이메일 필드를 감지하기 위한 입력 유효성 검사기를 추가했습니다.
위 코드에서는 PHP를 사용합니다. 필터링 입력을 검증하기 위한 필터:
값
다음 섹션