php 邮件功能；这种使用方式安全吗？

Question

我有一个分类网站，每个分类里面都有一个小表格。

这个表单是为了让用户能够给他们的“ friend ”打赏:

<form action="/bincgi/tip.php" method="post" name="tipForm" id="tipForm">
Tip: <input name="email2" id="email2" type="text" size="30 />
<input type="submit" value="Skicka Tips"/>
<input type="hidden" value="<?php echo $ad_id;?>" name="ad_id2" id="ad_id2" />
<input type="hidden" value="<?php echo $headline;?>" name="headline2" id="headline2" />
</form>

然后将表单提交到 tip.php 页面，这是我的问题，下面的代码是否安全，即它是否足够好，还是我需要做一些卫生和更多安全细节？

    $to = filter_var($_POST['email2'], FILTER_SANITIZE_EMAIL);
    $ad_id = $_POST['ad_id2'];
    $headline = $_POST['headline2'];

     $subject = 'You got a tip';

     $message ='Hi. You got a tip: '.$headline.'.\n';

    $headers = 'From: Tips@domain.com\r\n';
    mail($to, $subject, $message, $headers);

我还没有测试过上面的内容。

Answer 1

您正在将 $ad_id 和 $headline 传递给 HTML，只是为了让它原封不动地传回。由于 ad_id 和标题在表单中不可编辑，不要将它们放在表单上，将它们保留在服务器上。这样最安全。