是否有使用邮件功能注射的风险

Question

嗨 我正在开发一个联系表单。我正在使用邮件功能将其发送给网站管理员。

有人可能会注入恶意JavaScript和任何其他注入攻击的风险吗？

$to = (this is from config xml file) 
$message = $_POST['message']; 
mail($to ,'feedback',$message); 

Answer 1

只有当你设置的内容类型text/html

Answer 2

如果registers globals是（这不应该是）有注射（不同的地方$to是真正建立）一个（巨大）的风险。

同样如David指出的，如果您使用HTML邮件（可能与htmlspecialchars），则可以清理$ _POST ['message']。