在上一節的PHP e-mail 腳本中，存在著一個漏洞。
首先，請看上一章的PHP 程式碼：
<html><head><meta charset="utf-8"><title>碼農教學(codercto.com)</title></head><body><?phpif (isset($_REQUEST['email' ])) { // 若接收到郵件信箱參數則傳送郵件// 傳送郵件$email = $_REQUEST['email'] ; $subject = $_REQUEST['subject'] ; $message = $_REQUEST['message'] ; mail("[email protected]", $subject, $message, "From:" . $email); echo "郵件發送成功";} else { // 如果沒有郵箱參數則顯示表單echo "<form method='post' action='mailform.php'> Email: <input name='email' type='text'><br> Subject: <input name='subject' type='text'><br> Message:<br> <textarea name='message' rows='15' cols='40'> </textarea><br> <input type='submit'> </form>";}?></body></html>以上程式碼存在的問題是，未經授權的使用者可透過輸入表單在郵件頭部插入資料。
假如使用者在表單中的輸入框內加入以下文字到電子郵件中，會出現什麼情況呢？
[email protected]%0ACc:[email protected]%0ABcc:[email protected],[email protected],[email protected],[email protected]%0ABTo:[email protected]
像往常一樣，mail() 函數把上面的文字放入郵件頭部，那麼現在頭部有了額外的Cc:、Bcc: 和To: 欄位。當使用者點擊提交按鈕時，這封e-mail 就會被送到上面所有的地址！
防止e-mail 注入的最佳方法是對輸入進行驗證。
下面的程式碼與上一章的類似，不過這裡我們已經增加了偵測表單中email 欄位的輸入驗證程式：
<html><head><meta charset="utf-8"><title>碼農教學(codercto.com)</title></head><body><?phpfunction spamcheck($field){ // filter_var () 過濾e-mail // 使用FILTER_SANITIZE_EMAIL $field=filter_var($field, FILTER_SANITIZE_EMAIL); //filter_var()過濾e-mail // 使用FILTER_VALIDATE_EMAIL if(filter_var($field, FILTER_VALIDATE_EMAIL)) { return TRUE; } else { return FALSE; }}if (isset($_REQUEST['email'])){ // 如果接收到郵件信箱參數則發送郵件// 判斷郵箱是否合法$mailcheck = spamcheck($_REQUEST['email']); if ($mailcheck==FALSE) { echo "非法輸入"; } else { // 發送郵件$email = $_REQUEST['email'] ; $subject = $_REQUEST['subject'] ; $message = $_REQUEST[ 'message'] ; mail("[email protected]", "Subject: $subject", $message, "From: $email" ); echo "Thank you for using our mail form"; }}else{ // 如果沒有郵箱參數則顯示表單echo "<form method='post' action='mailform.php'> Email: <input name='email' type='text'><br> Subject: <input name='subject' type='text'><br> Message:<br> <textarea name='message' rows='15' cols='40'> </textarea><br> <input type='submit'> </form>";}?></body></html>在上面的程式碼中，我們使用了PHP 過濾器來對輸入進行驗證：
FILTER_SANITIZE_EMAIL 過濾器從字串中刪除電子郵件的非法字符
FILTER_VALIDATE_EMAIL 過濾器驗證電子郵件地址的值
您可以在我們的PHP Filter 中閱讀更多關於過濾器的知識。