防止注入基本的php脚本[重复]

Question

我有一个虚拟（免费）航空公司网站，并且在密码保护区域后面我可以使用我无法在我的公共区域/页面中使用的 PHP 脚本，因为过去它会被注入和劫持我的表单/脚本.我的主机刚刚停止支持 formail，因为它是一个旧脚本。他们推荐了我开始使用的名为 formspree 的服务，但后来他们停止了工作，也没有回复他们的支持请求。

我所需要的只是一个示例/答案，它可以让网站访问者通过填写表格向我发送电子邮件，或者通过这样做加入我们的虚拟航空公司。这是我所拥有的：

我的联系方式代码如下：

    <table WIDTH="1166" BORDER="0" CELLPADDING="0" CELLSPACING="0">
    <tr BGCOLOR="#0033CC">
        <th height="111" align="left" valign="top" bgcolor="#FFFFFF" scope="row">
            <form action="contact.php" method="POST">
                <input type="hidden" name="recipient" value="contact us"/>
                <input type="hidden" name="subject" value="Results From Contact Form"/>

                <p align="center">
                    <span class="arial">Pilot ID#: <input name="pilot_id" type="text"/><br/>
                        Full Name: <input name="name" type="text" size="50"/><br/>
                        E-mail: <input name="email" type="text" size="30"/><br/>
                        Confirm E-mail:
                    </span> 
                    <input name="confirm_email" type="text" size="30"/>
                </p>

                <p align="center"><span class="arial">Submit questions or comments</span><br/>
                    <textarea name="textarea" cols="50" rows="5"></textarea></p>

                <p align="center">
                    <input type="submit" name="Submit" value="Submit"/>
                    &nbsp; &nbsp; &nbsp;
                    <input type="reset" name="Reset" value="Reset"/><br/>
                </p>
            </form>
        </th>
    </tr>
</table>

contact.php的内容如下：

    <?php
//--------------------------Set these paramaters--------------------------

// Subject of email sent to you.
$subject = 'Results from Contact form';

// Your email address. This is where the form information will be sent.
$emailadd = 'here@ismyemailaddress.com';

// Where to redirect after form is processed.
$url = 'http://www.mywebsitename.com/contactsuccess.html';

// Makes all fields required. If set to '1' no field can not be empty. If set to '0' any or all fields can be empty.
$req = '0';

// --------------------------Do not edit below this line------------------------
$text = "Results from form:\n\n";
$space = ' ';
$line = '
    ';
foreach ($_POST as $key => $value) {
    if ($req == '1') {
        if ($value == '') {
            echo "$key is empty";
            die;
        }
    }
    $j = strlen($key);
    if ($j >= 20) {
        echo "Name of form element $key cannot be longer than 20 characters";
        die;
    }
    $j = 20 - $j;
    for ($i = 1; $i <= $j; $i++) {
        $space .= ' ';
    }
    $value = str_replace('\n', "$line", $value);
    $conc = "{$key}:$space{$value}$line";
    $text .= $conc;
    $space = ' ';
}
mail($emailadd, $subject, $text, 'From: ' . $emailadd . '');
echo '<META HTTP-EQUIV=Refresh CONTENT="0; URL=' . $url . '">';
?>

这很好用，应该发送电子邮件。但是，如前所述，它过去曾受到电子邮件注入的影响。我在我的提供者的 wiki 中查找了如何保护这个简单的脚本不被注入，他们建议添加以下内容，这对我不起作用，并且我不断收到我无法直接访问它的错误消息：

<?php
    if (!isset($_POST['submit'])) {
        echo "<h1>Error</h1>\n
        <p>Accessing this page directly is not allowed.</p>";
        exit;
    }
    $email = preg_replace("([\r\n])", "", $email);

    $find = "/(content-type|bcc:|cc:)/i";
    if (preg_match($find, $name) || preg_match($find, $email) || preg_match($find, $url) || preg_match($find, $comments)) {
        echo "<h1>Error</h1>\n
        <p>No meta/header injections, please.</p>";
        exit;
    }
?>

所以我显然不知道如何像他们所说的那样将它添加到脚本的顶部，或者它根本不起作用 - 我得到的只是关于直接访问页面的错误消息。

我不能随意安装软件包来使用 PHP 形式的邮件程序，我需要尽可能地简化和安全。我希望能够使它成为没有人可以访问 php 代码的地方，因此如果可能的话，也没有人可以从中获取电子邮件地址。

有人可以用外行的方式解释如何做到这一点吗？

Answer 1

改变这一行： if (!isset($_POST['submit'])) { 对此： if (!isset($_POST['Submit'])) {