php - 使 $_POST 数据安全地发送到电子邮件

Question

我了解 mysql_real_escape_string 等，但是当我只是发送电子邮件时呢？

所以我有表单和文本框，直接将 $_POST 数据通过电子邮件发送给用户是否存在任何漏洞？我猜他们将无法执行任何 PHP.. 或者如果他们从网址运行它，他们可以吗？我不确定。

Answer 1

如果直接发送到电子邮件就可以了。如果它存储在数据库中以显示在帮助台等管理员页面上，则需要对 html 输出和 mysql 进行转义。您可以使用许多函数转义 mysql:

• 如果使用 PDO，则使用 prepare 语句: http://php.net/manual/en/pdo.prepare.php
• 否则我会使用: http://php.net/manual/en/mysqli.real-escape-string.php

那是因为电子邮件可以包含 HTML，如果您不想收到人们在其中放入虚假 HTML 的电子邮件，例如 <blink> (这真的很烦人)然后你可以使用 htmlspecialchars() : http://php.net/manual/en/function.htmlspecialchars.php

如果您担心电子邮件中的 Javascript，请使用 htmlspecialchars()上面提到的也会逃避这一点。