/Email: Schutz vor Headerinjektion (2. Teil)

[Tom]

Hello,

"Robert Bienert" =?US-ASCII?Q?=3Croot=40localhost=3E=0D=0ABCC=3A=20Spam?=
=?US-ASCII?Q?=40receiver=2Ecom?=

Das sieht ja schon recht gut aus. Nur bin ich jetzt irritiert, ob das

To: Robert Bienert root@localhost;

überhaupt so codiert werden muss, wie Du es oben gezeigt hast.

Also den Namen würde ich schon so codieren, schließlich können da ja haufenweise Zeichen vorkommen, die mit 7-Bit ASCII nicht darstellbar sind. Wie sieht es eigentlich mit der Emailadresse aus?

Insgesamt sähe ein To-Feld dann irgendwie so aus:

$to = '"' .

mb_encode_mimeheader($name, mb_detect_encoding($name), 'Q') .
      '" <' .
      $adresse . // ← muss irgendwie codiert werden (\n \r < >)
      '>';

  
Die Adresse muss nur kontrolliert und ggf. entsorgt werden, weil sie (bisher) nur 7-bit ASCII enthalten durfte. Ob das nun, seitdem die Domainnamen auch unsinnig aufgeblasen wurden, auch geändert wurde, weiß ich noch nicht. Wäre aber für Deine Überlegungen mMn wichtig.  
  
Und dann darf sie eben keine Whitespaces enthalten.  
  
  
Ein harzliches Glückauf  
  
Tom vom Berg  
  
<http://bergpost.annerschbarrich.de>  
.

-- 
Nur selber lernen macht schlau