Texte additionnel dans le corps de l'e-mail

Question

Je construis un système de commande simple et je souhaite envoyer un e-mail après la soumission du formulaire. Mon code PHP ressemble à ceci:

$name=$_POST["orderName"]; 
$company=$_POST["orderCompany"]; 
$email=$_POST["orderEmail"]; 
$phone=$_POST["orderPhone"]; 
$headers = "From: $email\r\n" . 

$item1=$_POST["orderItem1"]; 
$qty1=$_POST["orderQty1"]; 

$item2=$_POST["orderItem2"]; 
$qty2=$_POST["orderQty2"]; 

$item3=$_POST["orderItem3"]; 
$qty3=$_POST["orderQty3"]; 

$date = date("l, F j Y, G:i") ; 

$message="Message sent: $date \n\n 

Name: $name\n 
Company: $company\n 
Email: $email\n 
Phone: $phone\n\n 

Order:\n 
$item1 \tx$qty1\n 
$item2 \tx$qty2\n 
$item3 \tx$qty3\n"; 

mail("sales@company.com", "Order", $message, $headers); 

Cela fonctionne très bien, sauf dans le corps de l'e-mail que je reçois la valeur de chaîne Item1 $ au début, avant le « Message envoyé ... » - juste comme je l'ai ajouté au message $ (que je ne vois pas aussi loin que je peux voir).

Answer 1

Où avez-vous ceci:

$headers = "From: $email\r\n" . 

vous voulez ceci:

$headers = "From: $email\r\n"; 

Sinon, vous concaténer tout ce qui vient sur la ligne suivante (qui se trouve être la définition de $item1) à la fin de $headers. Bien que ce ne soit pas techniquement valide (c'est-à-dire que le contenu fasse partie des en-têtes des messages et non du corps), la plupart des clients de messagerie vont en réalité hausser les épaules et l'afficher de toute façon.

Answer 2

S'il vous plaît, s'il vous plaît, s'il vous plaît, ajoutez un peu de désinfection à vos variables POST avant d'aller en production.

Voyons voir:

$email=$_POST["orderEmail"]; 
$headers = "From: $email\r\n"; 
mail("sales@company.com", "Order", $message, $headers); 

je pourrais envoyer une requête POST où "orderEmail" contient:

"helo@helo.lv\r\n 
From: viagra@farmacety.net\r\n 
BCC: victim1@domain1.com, victom2@domain3.com" 

etc. et votre forme inoffensive fonctionnerait très bien pour moi d'envoyer du spam dans le monde entier. This site suggère:

if (ereg("[\r\n]", $name) || ereg("[\r\n]", $email)) { 
    [... direct user to an error page and quit ...] 
}