Quel est le moyen le plus simple et le plus sûr d'enregistrer les données saisies par un utilisateur sur un site Web?

Question

Excuses, c'est une question tragiquement simple qui ennuiera la plupart d'entre vous.

J'ai besoin de mettre en œuvre la plus simple "laissez votre e-mail et nous vous contacterons" page Web. La chose la plus simple que je puisse penser est de faire un formulaire HTML qui appelle un script PHP qui ajoute les données dans un fichier sur le serveur. Facile à mettre en œuvre, mais maintenant je me demande si c'est totalement piratable. Est-ce? Existe-t-il de meilleurs moyens évidents qui restent simples?

grâce

f

Answer 1

Par hackable, voulez-vous dire que quelqu'un pourrait endommager votre fichier? Ou le lire? Ou...? Si je voulais faire ce que vous avez dit, je ferais ceci:

<?php 
if(isset($_POST['submit_button_name'])){ 
    $email = htmlentities($_POST['email_address_field_name'], ENT_QUOTES); 
    $handle = fopen("email_list.txt", "a"); 
    fwrite($handle, "\n".$email); 
    fclose($handle); 
} 
?> 

<form> ... </form> 

Il serait privé dans le sens où une personne ne sait pas où le trouver, et sûr parce que je l'ai utilisé les htmlentities () pour supprimer tout XSS possible.

Answer 2

Il est bon, mais vous pouvez trouver une base de données complète ou SQLite une meilleure option. Assurez-vous de placer le fichier dans un endroit inaccessible aux autres utilisateurs (par exemple, en dehors de la racine du serveur Web ou dans un répertoire protégé), sinon tout le monde pourra voir les commentaires.

Answer 3

Quelle que soit la solution que vous choisissez (fichier, base de données, e-mail, etc.), la sécurité dépendra de la façon dont vous le mettre en œuvre:

• Comment êtes-vous filtrent l'entrée?
• Combien de soumissions autorisez-vous par adresse IP?
• etc.

Answer 4

Il y a quelques choses que vous pourriez faire. Tout d'abord, puisque vous enregistrez une adresse e-mail, vous pouvez simplement utiliser la fonction mail() de PHP pour envoyer un e-mail à un endroit centralisé. Cela ressemble à une page d'inscription bêta, et un fichier serait bien si vous n'avez pas de base de données disponible. Assurez-vous simplement que le fichier est stocké en dehors du dossier servi (au-dessus de public_html, par exemple).

Assurez-vous également que vous regex ou nettoyer les données afin que quelqu'un ne peut pas l'utiliser comme un formulaire zombie pour le spam. Il suffit de couper l'adresse email après le premier \ r \ n et ça va le réparer.

Answer 5

Si vous décidez d'utiliser une base de données (ce que je ferais, si vous le pouvez: http://www.w3schools.com/PHP/php_mysql_intro.asp), assurez-vous de vérifier toutes vos données (http://php.net/manual/en/function.mysql-real-escape-string.php) avant de l'insérer dans la base de données.

Je voudrais utiliser une base de données car il est beaucoup plus facile d'analyser vos données ou même de les sortir dans un format sympa sur la page.