Validierung des Nachrichtentextes eines eMail-Formulars (Affenformular)

[Dagobert68]

Moin alle zusammen

Nach nunmehr gut 5 Jahren PSD-Tutorials-Mitgliedschaft traue ich mich nun endlich mal, meine erste eigene Frage zu stellen, da ich hier bisher immer viele hilfreiche Antworten gefunden habe (dickes Danke an alle bei der Gelegenheit!)

Ich hole mal etwas weiter aus...

Ich habe ein Kontaktformular erstellt mit den üblichen Feldern Vorname, Nachname, Nachricht, eMail und einer Checkbox "Ich möchte eine Kopie meiner Nachricht". Es ist ein Affenformular, das selbstverständlich auch bei fehlerhaften / unvollständigen Eingaben die bereits vom Nutzer eingegebenen Daten wieder anzeigt. Diese Anzeige entschärfe ich dann mit htmlentities und ENT_QUOTES.

Zusätzlich prüfe ich jedes Feld mit preg_match und Regular Expressions. Für die Felder Vorname, Nachname und eMail, sowie die Checkbox soweit alles klar.

Ich bin nur unsicher, was das Nachrichtenfeld angeht. Nach meinem (vielleicht etwas übertriebenem) Sicherheitsempfinden würde ich die "üblichen Verdächtigen" wie z.B. # ; / * " ' {} [] ausschließen wollen, aber ich denke, das kann man keinem Schreibenden zumuten, da das zumindest teilweise ja auch ganz normale Zeichen sind, die in einem Nachrichtentext durchaus vorkommen können (mal abgesehen von den "exotischen" Klammern). Beispiel: jemand schreibt in der Nachricht: "Wie geht's dir so?" Dann würde eine Meldung bezüglich unzulässigem Zeichen kommen wegen des Apostrophs. Das versteht doch kein normaler Mensch, warum das nicht zulässig sein soll, oder?

Daher meine Frage:
Wie macht ihr das üblicherweise für das Textfeld in einem eMail-Formular? Geht mein Denkansatz überhaupt in die richtige Richtung oder macht man das an der Stelle ganz anders?

Bin dankbar für jeden Tipp

Liebe Grüße,
Tina

 

[Duddle]

Die Angriffspunkte für ein Formular, welches mit mail() abgeschickt wird sind der Absender und die Betreffzeile. Beide entschärfst du mit filter_var() mit . Du brauchst dir keine eigenen Lösungen stricken.
Mit einem Textfeld könnte man wahrscheinlich einen XSS-Angriff konstruieren, aber htmlentities() verhindert diesen Ansatz.


Duddle

 

[Dagobert68]

Moin Duddle,

vielen Dank! Das ist sehr hilfreich. Ich war mir absolut nicht sicher, ob ich außer XSS-Angriffen noch etwas bei Textfeldern berücksichtigen muss.

Danke auch für den Tipp mit den PHP Filtern. Die werde ich jetzt statt meiner Eigenkonstrukte verwenden. Dann müsste eigentlich alles passen.

Also, 1000 Dank!

Grüßli,
Tina