当前在 PHP 中防止电子邮件注入攻击的最佳实践是什么？

Question

如今，从 PHP 电子邮件表单中清理数据的最佳做法是什么？

我目前正在使用类似的东西......

$msg = $_POST['msg'];
$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
$name = $_POST['name'];

$subject = "Message from the MY_WEBSITE website e-mail system";
$message = "From: " . $name . "\n";
$message .= "Email: " . $email . "\n\n";
$message .= $msg;
$headers = "From: " . $email . "\r\n" .
           "Reply-To: " . $email . "\r\n" .
           "X-Mailer: PHP/" . phpversion();

$mailSuccess = mail("me@example.com", $subject, $message, $headers);

以这种方式简单地过滤电子邮件字段是否足够保护？我可以/应该更有效地强化脚本以防止垃圾邮件发送者吗？

提前致谢！

[EDIT]澄清，因为到目前为止的答案表明我没有很好地解释自己。

我主要关心的不是垃圾邮件机器人获取此脚本，而是任何人利用它向me@example.com 以外的任何地址发送非法电子邮件。这可能包括一个机器人，但也可能是一个击败 CAPTCHA 测试的人。

我正在寻找的是 PHP，它将确保 mail() 方法发送的电子邮件不被劫持。这可能是一个简单地去除某些字符的正则表达式或过滤器或类似的。再次感谢。[/EDIT]

Answer 1

我会这样做：

• 使用验证码；
• 如果主题或正文包含任何 HTML 标记，则发送失败。注意：我没有说把它们去掉。只是不要发送电子邮件并向用户提供错误消息原因。向自己发送经过过滤的垃圾邮件毫无意义。只是不要发送它；
• 去除任何高位或低位字符（filter_vars() 可以做到这一点）；
• 将消息限制为 4000 个字符（或您选择的其他适当限制）；
• 如果消息包含任何不指向当前站点的 URL，则失败；
• 可以使用How do you stop scripters from slamming your website hundreds of times a second? 中的一些技术来确保有人发送消息。