1

necesito ayuda con un formulario, envio datos por el formulario y el form tiene una action="php/send.php", lo cual ese php me recibe los datos y me envia lo que recibió a un correo definido.El codigo funciona perfecto, el problema es que si alguna persona conoce la direccion "www.ejemplo.com/php/send.php" y le da a enter a la URL la peticion del php la hace y me envía un correo obviamente con los datos vacios. Como puedo evitar este problema?

introducir la descripción de la imagen aquí

    <?php
error_reporting(0);
$nombre = $_POST['nombre'];
$correo_electronico= $_POST['email'];
$opinion=$_POST['opinion'];
$radio= $_POST['radiocheck'];
$mail='****@*****.**';

$header = 'From: ' . $mail . ", \r\n";
$header .= "Version: PHP/" . phpversion() . " \r\n";
$header .= "Mime-Version: 1.0 \r\n";
$header .= "Content-Type: text/plain";

$mensaje = "Nombre o Compañía: " . $nombre . " \r\n";
$mensaje .= "Correo: " . $correo_electronico . " \r\n\n";
$mensaje .="Comentario: ".$_POST['opinion'] . " \r\n\n\n";
$mensaje .= "Enviado el: " . date('d-M-Y   H:i a', time());

$para = '****@*****.**';
$asunto = 'Asunto';

mail($para, $asunto, utf8_decode($mensaje), $header);
header("Status: 301 Moved Permanently");
header("Location: ../");
exit;

?>

<form action="php/send.php" method="post" class="container-fluid">
              <div class="form-group">
                <label for="nombre">Nombre / Empresa</label>
                <input type="text" class="form-control" name="nombre" id="nombre" placeholder="Enter Name or Company ">
              </div>
              <div class="form-group">
                <label for="email">Correo Electrónico</label>
                <input type="email" class="form-control" name="email" id="email" aria-describedby="emailHelp"  placeholder="Enter email">
                <small id="emailHelp" class="form-text text-muted">Nunca compartiremos su correo electrónico con nadie más..</small>
              </div>
              <div class="form-group">
                <label for="opinion">Comentanos!</label>
                <textarea class="form-control" name="opinion" id="opinion" rows="3"></textarea>
              </div>
              <div class="form-check">
                <input type="checkbox" class="form-check-input" id="radiocheck">
                <label class="form-check-label" for="radiocheck" name="radiocheck"><strong>¿Estás de acuerdo?</strong></label>
              </div>
              <br>
              <button type="submit" class="btn btn-enviar btn-primary">Enviar</button>
            </form>

5
  • 1
    Hola. ¿Cuál es el problema que quieres evitar? ¿Que se envíe con los datos vacíos o que cualquiera envíe lo que sea?
    – A. Cedano
    Commented el 9 jul. 2020 a las 10:16
  • El problema es que si una persona desconocida conoce la ruta o URL del php ejmplo "www.ej.com/php/send.php" y le da a la ruta , me envia un correo vacio, sin darle enter al boton del formulario. Commented el 9 jul. 2020 a las 10:18
  • 1
    Claro claro, y te puede enviar también un correo lleno si quiere, basta con poner los parámetros en la URL. Y te puede inyectar código también si quieres, si no limpias los datos. Como control mínimo puedes verificar que los datos del POST no están en blanco antes de enviar el correo, pero eso no te libra de posibles ataques.
    – A. Cedano
    Commented el 9 jul. 2020 a las 10:20
  • Utiliza isset() de PHP.
    – Srsole
    Commented el 9 jul. 2020 a las 10:27
  • Por lo general los formularios se protegen con CAPTCHA. Una forma sencilla de protegerlos es con lo que se conoce como honeypot. Consiste en poner un campo oculto en el formulario que luego verificarás en PHP con isset o con empty. Aunque inspeccionando el HTML se podría descubrir ese campo, es más difícil que un bot se dedique a eso, sin embargo, los campos visibles es facil determinarlos e incorporarlos a la URL con valores que se enviarían como si el form fuese llenado físicamente. Ver esta respuesta sobre honeypot.
    – A. Cedano
    Commented el 9 jul. 2020 a las 12:11

3 respuestas 3

0

yo te aconsejaría que hagas una sesión de ese usuario, cosa que al momento de que cualquier persona que ponga el link de envío del correo lo arroje un login como ejemplo impidiendo el envío.

Para hacer la sesión puedes ocupar este código:

        session_start();
    
        if(!isset($_SESSION["usuario"])){
            
            header("Location:login.php");
        }

El session_start() sirve para crear una sesión, si esta sesión esta creada la reanuda.

La variable super global $_SESSION["usuario"] sirve para recibir el usuario que vendrá a ocupar sesión.

Por último la función header("Location:login.php") sirve para redirigir al usuario al login si como ejemplo puso el link del envío en el navegador.

0

Lo que puedes hacer es insertar el código de envío en el mismo fichero donde está el formulario.

Isset

El envío de formulario se activará únicamente si se pulsa el botón sumbit a través de isset. También puedes hacer un filtro para que el botón se active cuando los inputs estén rellenados.

En el ejemplo puedes ver como se controla el submit con un if, y solo se ejecutará el envío si presionan el botón. Con esto ya no tienes un fichero extra donde se puede ejecutar varias veces.

Activar botón

He colocado que el botón se active cuando todos los inputs están rellenados. Puedes hacer que solo se active cuando el checkbox esté marcado.

Esto lo hacemos con el código en javascript que controla si hay cambios en los inputs con el método onchange.

function activar(){
     var estado = document.getElementsByTagName('input');
       for (var i = 0; i < estado.length; i++) {
         if(estado[i].checked==true){document.getElementById("enviar").disabled=false; break;}
         else  document.getElementById("enviar").disabled=true;
       }
     }
<?php
if(isset($_POST['submit'])){
        
  error_reporting(0);
  $nombre = $_POST['nombre'];
  $correo_electronico= $_POST['email'];
  $opinion=$_POST['opinion'];
  $radio= $_POST['radiocheck'];
  $mail='****@*****.**';

  $header = 'From: ' . $mail . ", \r\n";
  $header .= "Version: PHP/" . phpversion() . " \r\n";
  $header .= "Mime-Version: 1.0 \r\n";
  $header .= "Content-Type: text/plain";

  $mensaje = "Nombre o Compañía: " . $nombre . " \r\n";
  $mensaje .= "Correo: " . $correo_electronico . " \r\n\n";
  $mensaje .="Comentario: ".$_POST['opinion'] . " \r\n\n\n";
  $mensaje .= "Enviado el: " . date('d-M-Y   H:i a', time());

  $para = '****@*****.**';
  $asunto = 'Asunto';

  mail($para, $asunto, utf8_decode($mensaje), $header);
  header("Status: 301 Moved Permanently");
  header("Location: ../");
  exit;
  
}
?>

<form action="" method="post" class="container-fluid">
              <div class="form-group">
                <label for="nombre">Nombre / Empresa</label>
                <input type="text" class="form-control" name="nombre" id="nombre" placeholder="Enter Name or Company " onchange="activar()">
              </div>
              <div class="form-group">
                <label for="email">Correo Electrónico</label>
                <input type="email" class="form-control" name="email" id="email" aria-describedby="emailHelp"  placeholder="Enter email" onchange="activar()">
                <small id="emailHelp" class="form-text text-muted">Nunca compartiremos su correo electrónico con nadie más..</small>
              </div>
              <div class="form-group">
                <label for="opinion">Comentanos!</label>
                <textarea class="form-control" name="opinion" id="opinion" rows="3"></textarea>
              </div>
              <div class="form-check">
                <input type="checkbox" class="form-check-input" id="radiocheck" onchange="activar()">
                <label class="form-check-label" for="radiocheck" name="radiocheck"><strong>¿Estás de acuerdo?</strong></label>
              </div>
              <br>
              <button type="submit" id="enviar" name="submit" class="btn btn-enviar btn-primary">Enviar</button>
        </form>

-1

Puedes prevenir el acceso directo a tu script mediante esta validación

<?php
    /* en el inicio de 'send.php', si tu método es GET o POST debes aplicarlo acá, al igual que el nombre de tu archivo php */
    if ( $_SERVER['REQUEST_METHOD']=='GET' && realpath(__FILE__) == realpath( $_SERVER['SCRIPT_FILENAME'] ) ) {
        
        header( 'HTTP/1.0 403 Forbidden', TRUE, 403 );

        /* elige tu propio controlador de error */
        die( header( 'location: /error.php' ) );

    }
?>

Extraído de

prevent direct url access to php file

Básicamente lo uso para mis controladores que manejan información que tiene que ser validada.

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.