正确预防 PHP 中的邮件注入

你能告诉我如何预防吗电子邮件注入 http://en.wikipedia.org/wiki/Email_injection in PHP mail()而不丢失原始消息数据？例如。如果我需要允许用户使用\r\n, To, CC等等，所以我不想将它们完全从消息中剥离 - 我仍然希望它们被传递，但不添加任何额外的标头或以某种方式允许邮件注入发生。

互联网上的大多数建议都建议完全删除这些数据 - 但我不想这样做。

我通过 PHP 发送纯文本（非 HTML）消息mail()功能。

你有什么建议？

要过滤在收件人电子邮件字段中使用的有效电子邮件，请查看filter_var() https://www.php.net/manual/en/function.filter-var.php:

$email = filter_var($_POST['recipient_email'], FILTER_VALIDATE_EMAIL);

if ($email === FALSE) {
    echo 'Invalid email';
    exit(1);
}

这将确保您的用户仅提供单一有效的电子邮件，然后您可以将其传递给mail()功能。据我所知，没有办法使用 PHP 通过消息正文注入标头mail()函数，因此数据不需要任何特殊处理。

Update:

根据的文档mail() https://www.php.net/manual/en/function.mail.php，当它直接与 SMTP 服务器通信时，您需要防止邮件正文中出现句号：

$body = str_replace("\n.", "\n..", $body);

更新#2：

显然，也可以通过对象注入，但由于没有FILTER_VALIDATE_EMAIL_SUBJECT，您需要自己进行过滤：

$subject = str_ireplace(array("\r", "\n", '%0A', '%0D'), '', $_POST['subject']);