[PHP] Ist mein Mailskript sicher?

[Luckie]

Ich glaube genau das will ich nicht:

Zitat:

htmlentities — Wandelt alle geeigneten Zeichen in entsprechende HTML-Codes um

Ich will sie ja raus haben.

[arbu man]

Zitat von Luckie:

Also mit stripslashes könnte ich ja schon mal alle PHP-Steuerzeichen unbrauchbar machen. Gibt es auch was um HTML-Code zu entfernen? Denn dann hätte ich ja alle Sicherheitslücken beseitigt oder?

Habe jetzt folgende:

Code:

   $yourname = $_POST['yourname'];
   $yourname = stripslashes($yourname);
   $yourname = strip_tags($yourname);
   
   $subject = $_POST['subject'];
   $subject = stripslashes($subject);
   $subject = strip-tags($subject);
   
   $msg = $_POST['text'];
   $msg = stripslashes($msg);
   $msg = strip_tags($msg);

Ich könnte auch einfach im Post-Request einen normalen Zeilenumbruch schicken...
Am besten verwendest du eine fertige Lösung wie die Klasse PHPMailer

[Luckie]

Ich wollte es eigentlich selber machen und nichts fertiges verwenden - auch zu Lernzwecken.

[arbu man]

Zitat von Luckie:

Ich wollte es eigentlich selber machen und nichts fertiges verwenden - auch zu Lernzwecken.

Es ist gar nicht so einfach Mails richtig zu versenden, Sonderzeichen sollten richtig codiert werden (z.B. =?UTF-8?Q?PMI_1__Pr=C3=BCfungstermin_verschoben... [wobei man bei Mails wohl eher die ISO-Codierung verwenden sollte]), sonst kann es zu Fehlanzeigen kommen.

Und zeichen wie 0x0A (#10) und 0x0D (#13) müssen auf jeden Fall raus. Aber wirklich gut kenn ich mich mit Mails auch nicht aus, also keine Gewähr.

lg Björn

[Luckie]

Was müsste man bei dieser Funktion noch ergänzen, damit man saubere Daten hat:

Code:

   function cleanPostData($data) {
      $temp = stripslashes($data);
      $temp = strip_tags($temp);
      return $temp;
   }

[arbu man]

auf jeden Fall noch $temp = str_replace("\n", "", $temp);

[Luckie]

Wenn ich die Slashes entferne, dann wird doch aus "\n" "n" und ist somit auch unschädlich. Oder irre ich da jetzt?

[arbu man]

Also bei meinem Test wird:

Code:

echo cleanPostData("a:b
c:d");

von deiner Funktion nicht verändert. Und die Eingabe könnte ich deinem Script ohne weiteres per POST schicken...

[Luckie]

Aber das ist kein \n-Zeilenumbruch. Für deinen Fall brauche ich ja noch was.

[arbu man]

Mit meiner Zeile wird der Zeilenumbruch der Eingabe aber entfernt