php - "invite friends via email"功能...我应该关注哪些安全隐患？

Question

我正在向我的站点添加一项功能，以允许人们邀请他们的 friend 。我打算接受逗号分隔的列表并允许他们导入他们的 Gmail 联系人。

我的问题是，我如何防止有人向我的脚本发送一串电子邮件，并且基本上是 A) 淹没我的邮件服务器或 B) 向一群人发送垃圾邮件。显然，验证码会对此有所帮助，但我很好奇是否还有其他方法可以限制我们的风险......

由于联系人/等都在前端，无法使用我们的站点加密 key 对其进行散列处理...因此我最初的想法是在将电子邮件发送到我们的“发件人”脚本之前对其进行散列处理可能行不通。 ..

非常感谢对此的任何建议、帮助或指导!

Answer 1

首先也是最重要的:不要使用通用的发件人脚本!任何从外部请求获取收件人和消息正文的脚本都是安全问题。安全很难，你会犯错误，让你成为垃圾邮件发送者。最好创建几个只能发送特定电子邮件的脚本。例如。硬编码或预配置为仅向您发送电子邮件的联系我们脚本。一个告诉 friend 的脚本，其中包含硬编码或预配置的消息模板。

接下来，您需要非常小心地将用户提供的任何内容放入电子邮件 header (这包括邮件主题、发件人/回复地址等)。当然，将回复自动设置为用户的电子邮件地址很好，但是如果我将其键入为我的电子邮件地址会怎样:

me@example.org\nBCC:spam-target@example.org

现在我通过您的联系表向其他人发送垃圾邮件，即使该表只应该向您发送邮件。

您应该将用户可以放入邮件 header (或消息)中的任何内容视为可疑，就像对待 SQL 查询中的任何内容一样。