Безопасный скрипт электронной почты php

Question

Я хочу использовать php-скрипт для отправки электронной почты из html-файла на веб-сайте. Будет ли этот скрипт PHP достаточно безопасным для взлома и спама?

<?php 

$to = "emailto@site.com"; 
$subject = "Sent from site"; 

$email = $_POST['emailFrom']; 
$message = $_POST['message']; 

$email = filter_var($email , FILTER_SANITIZE_EMAIL); 
$message = filter_var($message , FILTER_SANITIZE_EMAIL); 

$message = $email . $message; 

mail($to, $subject, $message, "From: webpage@site.com"); 
?> 

Answer 1

FILTER_SANITIZE_EMAIL удаляет незаконные символы адреса электронной почты из строки; это, следовательно, не самый лучший вариант для содержимого электронной почты (как бы он ни был полезен для адресов электронной почты). Хотя удаление специальных символов HTML полезно при предотвращении атак XSS, стоит отметить, что есть законные причины для сообщения < и> в сообщениях (то есть прямо сейчас). Поэтому лучше преобразовать эти символы в свои html-объекты.

I.e.
< станет & lt;
и> станет &;

Так что для того, чтобы изменить HTML символы на лиц заменить:
$message = filter_var($message , FILTER_SANITIZE_EMAIL); с
$message = htmlspecialchars($message);
Другие, чем это выглядит хорошо; но помните, что в случаях, когда используется база данных, необходимо также добавить санитарию базы данных.