क्या मुझे ईमेल में भेजने से पहले उपयोगकर्ता द्वारा इनपुट किए गए डेटा को स्वच्छ करने की आवश्यकता है

Question

मेरे पास एक ऐसा फॉर्म है जिसमें मैं उपयोगकर्ता से नाम, ईमेल और संदेश स्वीकार करता हूं। मैं नाम, ईमेल और संदेश के लिए सत्यापन करता हूं और इसे mail() फ़ंक्शन का उपयोग करके भेजता हूं।

यदि मैं डेटाबेस में $name, $email और $message इनपुट कर रहा था, तो मैं SQL डेटा इंजेक्शन के लिए इस डेटा से बच जाऊंगा; या, यदि मैं इसे किसी वेबपृष्ठ पर प्रतिबिंबित कर रहा था, तो मैं htmlspecialchars() का उपयोग करूंगा।

जब मैं इस डेटा को ईमेल में भेज रहा हूं तो मुझे क्या करना चाहिए? मुझे पता है मुझे एसक्यूएल इंजेक्शन के बारे में चिंता करने की ज़रूरत नहीं है, लेकिन एक्सएसएस के बारे में क्या? क्या मुझे इन तीन चरों पर भी htmlspecialchars() का उपयोग करना चाहिए?

मैं इस तरह मेल भेजने:

mail('admin@mywebsite.com', 'Contact From: '. $name, "$message", 'From: '. $email); 

मैं ईमेल इंजेक्शन के बारे में पढ़ा है, लेकिन मैं इसे नहीं समझ सकता।

कृपया मुझे इसके बारे में बताएं।

Answer 1

भागने से पूरी तरह से डेटा को सम्मिलित किए गए संदर्भ पर निर्भर करता है।

क्या आप HTML मेल भेज रहे हैं? फिर आपके पास HTML संदर्भ है, और htmlspecialchars() का उपयोग किया जाना चाहिए।

यदि आप सादा पाठ मेल भेज रहे हैं, तो सादे पाठ के लिए कोई भाग नहीं है।

एकमात्र खतरा यह होगा कि आपके मेल क्लाइंट में कुछ बग है जो सादे पाठ को कुछ निष्पादन योग्य के रूप में व्याख्या करता है और फिर कुछ अजीब नाम और मेल एड्रेस प्राप्त करते समय कार्य करता है।

लेकिन यह केवल मेल की सामग्री पर लागू होता है, वास्तविक हेडर नहीं।

आप कस्टम मेल हेडर From का उपयोग कर रहे हैं। इसका इस्तेमाल न करें। From स्पैम फ़िल्टर में उपयोग किया जाता है। अगर मैं अपना मेल पता दर्ज करूंगा, और आप इस मेल को From: my@mail के साथ भेज रहे हैं, तो आप मेरा खुद का ईमेल सर्वर का प्रतिरूपण कर रहे हैं। स्पैम वास्तविक स्रोत को छिपाने के लिए इसका उपयोग करता था, और उस मेल पते के पीछे दुखी व्यक्ति को शिकायतें और त्रुटि प्रतिक्रिया को पुनर्निर्देशित करने के लिए उपयोग किया जाता था। इस वजह से आज ऐसे तंत्र हैं जो इस तरह के दुर्व्यवहार को रोक देंगे। तो बस नाटक मत करो मैं यह मेल भेज रहा हूं - आप करते हैं।

यदि आप उत्तर बटन पर क्लिक के साथ मुझे जवाब देने में सक्षम होना चाहते हैं, तो Reply-to शीर्षलेख का उपयोग करें, लेकिन हमेशा From: dont-answer@YOURWEBSITE.example का उपयोग करें।

इसके अतिरिक्त, ये कस्टम हेडर बुरी चीजों के लिए प्रवेश बिंदु हैं। सुनिश्चित करें कि आप केवल मेल पते जोड़ रहे हैं। सुनिश्चित करें कि आप कोई लाइन फीड वर्ण नहीं जोड़ते हैं। इससे मेलसेवर सोचता है कि एक नया हेडर आ रहा है, और इससे मेल हेडर इंजेक्शन हो सकता है।

Answer 2

समस्या सरल है। यदि कोई उपयोगकर्ता किसी और को एक ईमेल भेज सकता है तो वह HTML या जावास्क्रिप्ट का उपयोग कर सकता है जो अधिकांश ईमेल-क्लाइंट्स और प्रत्येक वेबमेल इंटरफ़ेस में सामग्री को फिर से लिखने के लिए व्याख्या किया जाता है। वह एक आईफ्रेम लोडिंग को दूसरी साइट या पॉपअप स्क्रिप्ट इंजेक्शन दे सकता है।

इनपुट के लिए यह सबसे महत्वपूर्ण है कि आप इसे ब्राउज़र के लिए कैसे संचरित करेंगे।

Answer 3

आपको ईमेल स्पैमिंग

http://www.php.net/manual/en/filter.filters.validate.php

$email = "email@me.com"; 

if(!filter_var($email, FILTER_VALIDATE_EMAIL)) 
    { 
    echo "email not valid"; // do not send 
    } 
else 
    { 
    echo "email valid"; // send 
    }