0

Добрый вечер!

У нас проблема: два сайта нашей компании попали в какие-то списки спамеров и ежедневно приходит более 40 заявок на почту с именем типа "58ebb537ee4e7" и почтой типа "[email protected]".

Решили защититься с помощью ограничения для строки "Имя" - только кириллица ( с помощью pattern).

При ручной проверке формы всё отлично работает (с латиницей форму не отправляет). Однако спам заявки с именами типа "58ebb537ee4e7" продолжают приходить. В чём может быть проблема?

P.s. также не работает "required" в поле с телефоном. Заявки приходят без номера телефона.

Код формы с одного из сайтов:

<form class="form-horizontal" method="post" action="order.php">
    <fieldset>
        <p class="contact-message">
            <center><b><span style="font-size:30px; font-weight: 100;">ОСТАВЬТЕ ЗАЯВКУ</span><br><span style="font-size:20px; font-weight: 100;">наш менеджер Вам перезвонит!</span></b></center><br>
        </p>
        <div class="control-group">
            <label class="control-label" for="name">Введите имя</label>
            <div class="controls"><input type="text" value="" name="name" required placeholder="Введите имя" pattern="^[А-Яа-яЁё\s]+$"></div>
        </div>
        <div class="control-group">
            <label class="control-label" for="phone">Введите телефон</label>
            <div class="controls"><input type="text" value="" name="phone" required placeholder="Введите телефон" pattern="^[ 0-9]+$"></div>
        </div>
        <div class="control-group">
            <label class="control-label" for="email">Введите e-mail</label>
            <div class="controls"><input type="text" value="" name="email" placeholder="Введите e-mail"></div>
        </div>
        <input type="hidden" id="" name="formochka" value="Форма_1">
    </fieldset>
    <div class="control-group center"><button class="btn">Отправить &raquo;</button></div>
</form>

Подскажите, как сделать ограничение в order.php? Сделать только проверку имени, чтобы там была хотя бы одна буква и только кириллица.

<?php
    header("Content-Type: text/html; charset=utf-8");
    if($_SERVER["REQUEST_METHOD"] == "GET")
        exit;

    $email = "[email protected]";
    $title = "Новый заказ. XXXXXX";
    $from = 'XXXXXXXXX';
    $text = 'Информация о заказе:

Товар: XXXXXXXXX (http://XXXXXXX.ru/)
Имя: '.@$_POST['name'].'
Телефон: '.@$_POST['phone'].'
Почта: '.@$_POST['email'].'
Время заказа: '.date("Y-m-d H:i:s").'

Форма: '.@$_POST['formochka'].'';

    if(mail($email, $title, $text, "Content-type:text/plain; charset = utf-8\r\nFrom:$from"))
        echo "<html><head><title>Спасибо за заказ!</title></head><body><div style='margin: 150px auto; width: 300px;'></div></body></html>
<meta http-equiv='refresh' content='0; url=./success.html' />";
    else
        echo "<h2>Ошибка! Попробуйте ещё раз!</h2>";
?>

5
  • 6
    Так спамеры же отправляют HTTP запрос прямо на ваш сервер. они никакой формы перед собой не видят и проверки формы на стороне клиента, которые вы добавили, не делают. Все проверки необходимо дублировать, проверять и в форме на клиенте и на сервере при получении запроса. Т.е. валидность имени отправителя надо проверять вот в том order.php ...
    – Mike
    10 апр 2017 в 17:55
  • @Mike сможете подсказать, как сделать ограничение в order.php (прикрепляю его ниже)? Сделать только проверку имени, чтобы там была хотя бы одна буква и только кириллица. Если в HTML ещё как-то разбираюсь, то в PHP совсем не понятно :)
    – Павел
    10 апр 2017 в 20:12
  • такой же маской как и в js. Только не забыть указать начало и конец строки и флаг u для юникода (/^...$/u) php.net/manual/ru/function.preg-match.php
    – Mike
    10 апр 2017 в 20:18
  • Имя - только кириллица: аыгвнаывгнаи. Задача немного более сложная, чем вы ее себе представляете. Простейший вариант - добавить капчу или авторизацию через OAuth "авторитетных" сайтов. Или CloudFlare.
    – user239133
    10 апр 2017 в 21:13
  • Это не задача PHP, а задача какого нибудь почтового клиента в котором уже должны быть прописаны самообучающиеся алгоритмы распознавания спама и конечно же кнопка "Отметить как спам". Вопрос: вы решили написать свой почтовый клиент? Думаю нет. Пользуйтесь теми же бесплатными инструментами гугла, там 1000 способов привязать корпоративную почту и т.д.
    – user208916
    10 апр 2017 в 23:52

3 ответа 3

1

Дело в том что боты не учитывают вот эти требования к полям. Вполне возможно что они вообще, из-за собственной простоты, не в курсе что такие ограничения существуют. Значит вам необходимо проверять ограничения и на стороне сервера тоже. Это обычное правило для всех других проверок тоже. Ведь ничто не мешает даже относительно порядочному пользователю залезть в код страницы и убрать любые ограничения!

В вашем случае на стороне сервера проверка на русские буквы в строке может делаться так:

if (!preg_match('/\p{Cyrillic}/u', @$_POST['name'])) {
    // в имени нет кириллицы - покажем ошибку 
    echo "<h2>Ошибка! Попробуйте ещё раз!</h2>";
    return;
}

Более надёжным решением вашей задачи будет капча. Так вы на 100% отсеете всех обычных ботов. Чуть более худшее решение то - что предлагаете вы. Ещё можно вспомнить добавление скрытого поля, которое перезаписывается через JS.

0

также не работает "required" в поле с телефоном. Заявки приходят без номера телефона.

Вот эту проблему и решите в первую очередь.

if (!isset($_POST['phone'])) { //TODO и еще проверка на пустую строку
  ...
  exit();
}

Если в будущем они это обойдут, то и с кириллицей захотят - обойдут, все кто делают боты уже готовы хоть каждый день изменения в бота вносить, лишь бы это рентабельно было.

А шаблоны проектирования здесь ни при чем. :)

0

В первую очередь нужно добавить скрытое поле с csrf токеном к форме, который будет сравниваться со значением в сессии каждый раз когда запрошен форм-обработчик, о том что это такое можно пичтать здесь, так же было бы неплохо добавить простенькую капчу, чтобы отличать зерна от плевел. Так Вы сможете отсеять до 100% спама.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.