1. 过滤用户输入： 对于用户提供的输入（例如收件人地址、主题、正文等），应该进行适当的过滤和验证，以防止恶意输入。可以使用 filter_var 函数或正则表达式进行过滤。
$to = filter_var($_POST["to"], FILTER_VALIDATE_EMAIL);
$subject = htmlspecialchars($_POST["subject"]);
$message = htmlspecialchars($_POST["message"]);
2. 使用双引号： 在邮件头中使用双引号包裹地址和主题，以防止邮件注入攻击。
$headers = "From: \"sender@example.com\" <sender@example.com>\r\n";
3. 防止 CRLF 注入： 确保邮件头中的换行符和回车符 (\r\n) 是由系统提供，而不是由用户提供。这有助于防止 CRLF（Carriage Return Line Feed）注入攻击。
$headers .= "Reply-To: \"sender@example.com\" <sender@example.com>\r\n";
4. 使用邮件库： 考虑使用专业的邮件库，如 PHPMailer 或 Swift Mailer。这些库提供了更多的功能和更安全的接口，可以处理许多与邮件相关的安全问题。
例如，使用 PHPMailer：
use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\Exception;
require 'vendor/autoload.php';
$mail = new PHPMailer(true);
try {
// ... 设置邮件配置
$mail->send();
echo "Email sent successfully.";
} catch (Exception $e) {
echo "Error sending email: " . $mail->ErrorInfo;
}
5. 避免直接拼接用户输入： 避免直接将用户输入拼接到邮件内容中，以防止恶意脚本或 HTML 注入。如果需要在邮件中包含用户提供的内容，可以使用适当的过滤和转义。
$message = "User input: " . htmlspecialchars($_POST["user_input"]);
6. 验证收件人地址： 在发送邮件之前，最好通过验证确保收件人地址是有效的电子邮件地址，以防止无效地址导致的邮件发送失败。
$to = filter_var($_POST["to"], FILTER_VALIDATE_EMAIL);
if ($to === false) {
echo "Invalid email address.";
} else {
// 发送邮件
}
这些建议可以提高 PHP 电子邮件功能的安全性，但请注意，邮件发送本身并不是一个完全安全的操作，因为它依赖于服务器配置和外部邮件服务器的安全性。
转载请注明出处：http://www.pingtaimeng.com/article/detail/13821/PHP