【PHP】参考にすべき安全なメールフォームサンプルを教えてください

Question

いつも回答ありがとうございます。

プログラミングの経験がない、PHP初学者ですが、安全なメールフォームを作りたく、セキュリティについて調べております。

ググるとメールフォームのサンプルや作り方を紹介しているサイトがありますが、よく見ると「ん？」と思う箇所があり、参考にしてよいサンプルか迷います。

簡単にですが、セキュリティについて調べたため、下記のようなサンプルコードを見ると「ん？」と感じます。

• jQueryのみで入力チェックをしている
• htmlspecialcharsで第1引数しか指定していない

上記以外にも主に下記の対策が必要になるのかなと思っております。

• クロスサイトスクリプティング
• クロスサイトリクエストフォージェリ
• クリックジャッキング
• メールヘッダインジェクション

どのような対策が必要なのかは大体わかりましたが、
私の大したことない知識で参考にしてもよいコードなのか判断するのがなかなか難しいです・・・

前にメールに関して質問したら、メール自体安全ではないという意見もあり、mb_send_mailなどを使わない方がよいのかなとも思っております。

皆様から見て、参考にすべきメールフォームのサンプルが掲載されているサイトや書籍をご存じであれば、教えてくださいm(__)m

サンプルコードが一番有り難いですが、抑えておくべき内容が掲載されているものでも結構ですので教えてください。

Answer 1

どこまで実装するか次第ではありますが
安全なwebアプリケーションの作り方
を可能な範囲でもいいので抑えておき、
基本的な考えを理解されると、ソースコードの是非の判断もつくかと思います。

Comments

[退会済みユーザー]

回答ありがとうございます^^
IPAの「安全なウェブサイトの作り方」ですね。
やはり判断できる力をつけることが重要なんですね。

[tanat]

はい。
セキュリティというのは求めれば際限が無く、用途によって適切な内容が異なってきます。
（極端な話、信頼出来る人にしか触らせないというのはかなり固いセキュリティ対策です。インターネットに公開するフォームとしては許容出来るものではありませんが・・・）

そのため、一般的にどの様な対応が必要かということを知り、
その上で自分が作るにあたってどこまで対応するのかを決めないと
「安全な」という判定自体が出来なくなりますね。

もちろん、一般的にかなり安全なメールフォームでかつオープンソースのものも存在すると思いますが、関数やクラス、モジュールレベルで脆弱性が発見されることもあり、メンテナンスが継続的にされないと安全であり続けることは出来ませんので、
なかなか難しいところだと思います。

[退会済みユーザー]

メールフォームを作る上で、まずはどのような脆弱性が発生するのかを知り、どこまで対応するのかを決めないといけないということですね。

調べると様々な脆弱性及びその対策があり、メールフォームを作る上で私が知らない脆弱性などもあるのではないかと思い、お手本となるサンプルコードはないかと質問した次第です。

まずは「安全なウェブサイトの作り方」と「体系的に学ぶ 安全なWebアプリケーションの作り方」をちゃんと把握した後で、メールフォームを作ってみたいと思います。

安全なメールフォールを作るには、どのような手順で進めていけばよいか悩んでいたため、とても参考になりました。

回答ありがとうございましたm(__)m