是否有使用郵件功能注射的風險

Question

嗨 我正在開發一個聯繫表單。我正在使用郵件功能將其發送給網站管理員。

有人可能會注入惡意JavaScript和任何其他注入攻擊的風險嗎？

$to = (this is from config xml file) 
$message = $_POST['message']; 
mail($to ,'feedback',$message); 

Answer 1

只有當你設置的內容類型text/html

Answer 2

如果registers globals是（這不應該是）有注射（不同的地方$to是真正建立）一個（巨大）的風險。

同樣如David指出的，如果您使用HTML郵件（可能與htmlspecialchars），則可以清理$ _POST ['message']。