-1

Понимаю что тема изъезжена вдоль и по поперек, но что - то все мои обращения к гуглу сводятся к описанию функции mail.
Может подкинете идеи, как надежней защитить форму на сайте. Какие проверки и манипуляции делать с данными (в базу не сохраняется, простая отправка на почту значений полей формы)?
Как проверять что форма была отправлена именно со страниц нашего сайта.
Я так понимаю что проверка на пустоту, обрезание пробелов и html тегов это минимум минимумов.

1 ответ 1

1

Для начала, самым правильным вариантом будет пользоваться не функцией mail(), а библиотеками (я рекомендую PHPMailer - невероятно проста в использовании) или инструментами фреймворка (если вы им пользуетесь).

Касательно формы на сайте переживать сильно не стоит. Единственное, что вы должны отдавать на своем сайте - это поле, куда пользователь введет заголовок обращения, и поле, куда он введет само обращение. Затем эти два поля отправляются на ваш сервер и там вы уже подготавливаете эти данные и отправляете на какой-то там свой эмеил. Можно даже самому себе письма отправлять, например [email protected] => [email protected]

Собственно, подготовка данных, которые вы отправите в письме, тоже несложна. В первую очередь проверьте, заполнены ли все поля (например, функцией empty()). Затем просто прогоните поля через функции trim() (удалит пробелы и переносы строк с обоих концов текста) и htmlspecialchars() - преобразует все спец. символы в HTML-сущности, таким образом если кто-то захочет вам отправить HTML, то в письме вы увидите HTML как есть, то бишь вместо пончики будет написано <b>пончики</b>. В принципе, можете еще в последнюю функцию передавать параметр ENT_QUOTES, чтобы она помимо тегов еще и кавычки конвертировала.

Ну и все. Проверять, откуда пришло письмо, не обязательно, ведь если вы не будете светить ящик, на который шлете письма, то никто и не узнает о нем. Но если очень хочется, можете просто в конце письма дописывать что-нибудь вроде "Отправлено с сайта sitename.ru" - о существовании этой приписки никто кроме вас узнать не сможет. Но это, на самом деле, дикий велосипед и не думаю, что кто-то вообще проверяет, где было написано письмо.

2
  • спс за ответ, но все же думаю проверить была ли отправлена форма со страниц нашего сайта будет не лишним, как я мыслю это исключит всякого рода роботов.
    – pepel_xD
    23 окт 2016 в 14:07
  • На PHP вы только отправляете письмо, все остальное - это уже заботы вашего почтового сервера. Как я и написал, если вам зачем-то нужна эта "проверка", можете просто в письме дописывать что-нибудь. Если человек узнает ваш адрес электронной почты, он в любом случае сможет отправить на него письмо, как бы вам не хотелось.
    – Petr Flaks
    23 окт 2016 в 14:11

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.