7

Estoy desarrollando un formulario de contacto en la misma página y ocultando el formulario al enviar con PHP pero tengo problemas en validar la imagen captcha al presionar el botón en enviar me muestra los dos mensajes juntos al enviar:

  • Los caracteres no coincide con el código captcha.

  • Gracias por sus comentarios.

Por medio de este código obtengo los valores del captcha de la imagen.

if($_SESSION['vcode'] != $_POST['vcode']) {}

Debido al problema de validar el captcha tengo la duda de dónde incluir la validación de los datos del formulario con PHP.


ACTUALIZACIÓN

Formulario de contacto.php

<!DOCTYPE html>
<html>
<head>
  <title>Formulario de Contacto</title>
</head>
<body>
<?php
// Función para validar contra cualquier intento de inyección de correo electrónico
function IsInjected($str) {
  $injections = array('(\n+)',
    '(\r+)',
    '(\t+)',
    '(%0A+)',
    '(%0D+)',
    '(%08+)',
    '(%09+)'
    );
  $inject = join('|', $injections);
  $inject = "/$inject/i";
  if(preg_match($inject,$str)) {
    return true;
  }else{
    return false;
  }
}
?>
<?php
session_start();
$errors = '';
$nombre = '';
$email = '';
$telefono = '';
$mensaje = '';
if(isset($_POST['submit'])) {

  if($_SESSION['vcode'] != $_POST['vcode']) {
    $errors .= "Los caracteres no coincide con el código captcha";
  }

  $nombre = $_POST["name"];
  $email    = $_POST["mail"];
  $telefono = $_POST["phone"];
  $mensaje  = $_POST["message"];

  if(empty($nombre)) {
    $errors .= "\n Por favor ingresar su nombre. "; 
  }
  if(empty($email)) {
    $errors .= "\n Por favor ingresar su email. "; 
  }elseif (IsInjected($email)) {
    $errors .= "\n email no valido. ";
  }
  if(empty($telefono)) {
    $errors .= "\n Por favor ingresar su numero telefono. "; 
  }
  if($_POST['producto'] == 0){
     $errors .= "\n Debe seleccionar un producto";
  }
  if(empty($mensaje)) {
    $errors .= "\n Por favor ingresar su mensaje. "; 
  }
  if(empty($errors)) {
    $asunto = "";
    $message = "Usuario:".$_POST['name']." Email:".$_POST['mail']." Telefono ".$_POST['phone']." Informacion ".$_POST['message'];
    $destino = "[email protected]";
    $remitente = "From: [email protected]";
    mail($destino,$asunto,$message,$remitente);
    unset($_POST['submit']);
    echo "Gracias por sus comentarios";
  }
}else{
?>

<div class="error">
<?php
if(!empty($errors)){
  echo "<p class='err'>".nl2br($errors)."</p>";
}
?>
</div>
<form action="<?php echo htmlentities($_SERVER['PHP_SELF']); ?>" method="post" autocomplete="off" enctype="multipart/form-data">
  <div class="touch">
    <div class="name">
      <input type="text" name="name" placeholder="Nombre" value='<?php echo htmlentities($nombre) ?>'>
    </div>
    <div class="email">
      <input type="text" name="mail"  placeholder="Email" value='<?php echo htmlentities($email) ?>'>
    </div>
    <div class="phone">
      <input type="text" name="phone" placeholder="Phone" value='<?php echo htmlentities($telefono) ?>'>
    </div>
    <div class="select-pro">
      <select name="producto">
        <option value="0" selected>Asunto...</option>
        <option value="1">Producto 1</option>
        <option value="2">Producto 2<option>
        <option value="3">Producto 3</option>
        <option value="4">Otro</option>
      </select>
    </div>
    <div class="Customer-message">
      <textarea id="message" name="message" placeholder="Su consulta..."><?php echo htmlentities($mensaje) ?></textarea>
    </div>
    <div class="capcha">
      <img src="image.php" name="vcode" id="phoca-captcha"/>
      <input name="vcode" type="text" placeholder="Codigo captcha">
    </div>
      <input type="submit" name="submit" value="Enviar">
  </div>
</form>
<?php } ?>
</body>
</html>

Lo deseado es ocultar el formulario al enviar y mostrar el siguiente mensaje Gracias por sus comentarios pero al enviar ya sea en blanco o los campos llenados correctamente o incorrectamente se oculta el formulario adicional a ello se pierde la validación de los campos debido a que no muestra ningún mensaje de error.

Otro error es la función para validar contra cualquier intento de inyección de correo electrónico, al ingresar un email no válido ejemplo(falso@aasadw) no muestra el mensaje de error: email no válido.

Para evitar que el usuario pierda la información dada en los campos del formulario al no escribir correctamente los caracteres del código captcha añadí a cada campo esta acción:

value='<?php echo htmlentities($nombre) ?>'

Pero en el select -> option cómo evito que se pierda la selección del producto al enviar.

1
  • en donde se envian esos codigos expliqueme
    – user90559
    Commented el 11 jun. 2018 a las 15:17

2 respuestas 2

8

Antes de continuar analiza, estudia y practica en w3schools en w3schools encontraras una guia completa con ejemplos sencillos y prácticos te ayudará mucho.

TEMA DE SEGURIDAD en el tratamiento de los formularios PHP!

Una correcta validación de los datos es importante para proteger los formularios de hackers y spammers!

Preocuparse por la seguridad de los formularios es fundamental para evitar ataques de Cross Site Scripting (XSS) que ejecutan comandos que puede redirigir al usuario a un archivo en otro servidor, y ese archivo puede contener código malicioso que puede alterar las variables globales o enviar el formulario a otra dirección para guardar los datos de usuario.

Por lo tanto es importante lo que has realizado pero vale recalcar para satisfacer las dudas que puedan presentar otros usuarios.

Vulnerable (Esta acción puede ser utilizado por los hackers!) ataques de Cross Site Scripting (XSS).

<form method="post" action="<?php echo $_SERVER["PHP_SELF"];?>">

Formulario de acción segura htmlspecialchars (Importante lo que has implementado en tu formulario).

<form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>">

Cualquier manipulación de un ataque de un Hackers:

http://www.example.com/test_form.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E

Con la función htmlspecialchars () convierte los caracteres especiales a entidades HTML. Ahora bien, si el usuario intenta explotar la variable PHP_SELF, el resultado será el siguiente resultado:

<form method="post" action="test_form.php/&quot;&gt;&lt;script&gt;alert('hacked')&lt;/script&gt;">

Ahora bien sin la función htmlspecialchars () el resultado sería diferente a un ataque inofensivo como ejemplo.

<form method="post" action="test_form.php/"><script>alert('hacked')</script> 

Podrías añadir una función y otro parámetro para mejorar aún más la seguridad de esta manera:

  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $nombre = test($_POST["name"]);
    $email    = test($_POST["mail"]);
    $telefono = test($_POST["phone"]);
    $mensaje  = test($_POST["message"]);
  }

  function test($data) {
    $data = trim($data);
    $data = stripslashes($data);
    $data = htmlspecialchars($data);
    return $data;
  }

Validar Correo electrónico

La forma más fácil y más seguro para comprobar si está bien formado una dirección de correo electrónico es utilizar la función de PHP filter_var ().

  if(empty($email)) {
    $errors .= "\n Por favor ingrese su email. "; 
  }else{
    if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
      $errors .="\n email no válido";
    }
  }

También puedes validar Nombre de esta forma sencilla para comprobar si el campo del nombre sólo contiene letras y espacios en blanco.

  if(empty($nombre)) {
    $errors .= "\n Por favor ingrese su nombre."; 
  }else {
    if (!preg_match("/^[a-zA-Z ]*$/",$nombre)) {
      $errors .= "\n Sólo se permiten letras y espacios en blanco.";
    }
  }

Validar número de teléfono

Nota: Existen diferentes formas y parámetros para validar número de teléfono a un país específico.

En esta validación se acepta los números de 10 dígitos en adelante de todos los países incluyendo código de país en su validación ejemplo: +1 xxx xxx xxx.

  if(empty($telefono)) {
    $errors .= "\n Por favor ingrese su número de telefónico. "; 
  }else{
    if(!preg_match("/^\+?\d{1,3}?[- .]?\(?(?:\d{2,3})\)?[- .]?\d\d\d[- .]?\d\d\d\d$/", $telefono)) {
      $errors .="\n Número de teléfono no válido";
    }
  }

Si deseas optar por un número de teléfono específico debes cambiar esto:

^\+?\d{1,3}?[- .]?\(?(?:\d{2,3})\)?[- .]?\d\d\d[- .]?\d\d\d\d$

por lo deseado.

Sobre ocultar el formulario de contacto al enviar, debes cambiar el mensaje por una variable.

Cambia esto:

echo "Gracias por sus comentarios";

por esto:

$msg= "Gracias por sus comentarios";

Reemplaza esto:

<div class="error">
<?php
if(!empty($errors)){
  echo "<p class='err'>".nl2br($errors)."</p>";
}
?>
</div>

Por esto:

<div class="error">
<?php 

if(isset($msg)){
  echo "<p class='err'>".$msg."</p>";
}else{
  if (isset($errors))
    echo "<p class='err'>".nl2br($errors)."</p>";
?>
</div>
 # formulario
<form></form>
 # Al final del formulario cerrar
<?php } ?>

Para evitar que se pierda la selección del producto de las opciones añade este parámetro donde se encuentra el resto de los datos $telefono, $nombre

if ($_SERVER["REQUEST_METHOD"] == "POST") {
  $seleccionado = test($_POST['producto']);
}

Ahora para evitar errores añade también la siguiente variable $seleccionado = ''; por encima del if(isset($_POST['submit']))

Reemplaza el select simple HTML.

  <select name="producto">
    <option value="0" selected>Asunto...</option>
    <option value="1">Producto 1</option>
    <option value="2">Producto 2<option>
    <option value="3">Producto 3</option>
    <option value="4">Otro</option>
  </select> 

Por un select dinamico con PHP. (Con esto no se perderán los datos seleccionados)

  <select name="producto">
  <?php
     $datos = array("Asunto","TV","Internet");
     for($i=0; $i<count($datos); $i++) {
        if($i==$seleccionado) {
           echo "<option value='".$i."' selected>".$datos[$i]."</option>";
        }else {
           echo "<option value='".$i."'>".$datos[$i]."</option>";
        }
     }
  ?>
  </select>


   
4
  • perfecto funciona, genial las recomendaciones. Pero como evitó que se pierda la selección al enviar al existir errores conservó los otros datos pero la selección se borra?
    – Josues
    Commented el 20 dic. 2016 a las 15:09
  • 2
    +1 compadre! buena respuesta
    – sioesi
    Commented el 20 dic. 2016 a las 15:26
  • Hola @Josues acabo de editar mi respuesta, edita tu pregunta para que sea clara a un solo problema sin tantas incógnitas en ella vale saludos :)
    – Otto
    Commented el 20 dic. 2016 a las 15:28
  • Gracias @sioesi :) espero sea muy útil a futuro para los demás que puedan presentar un problema similar saludos :)
    – Otto
    Commented el 20 dic. 2016 a las 15:30
2

Lo importante es saber, el captcha aparece cuando el usuario intenta cierta cantidad de veces enviar el formulario o siempre esta?

Si siempre esta entonces es un campo mas de tu formulario, y el codigo lo dejaria tal cual lo tienes, salvo que crearia una variable flag $error y $mensaje ademas de agregar name a tu selector

<select name="producto">
    <option value="0" selected>Asunto...</option>
    <option value="1">Producto 1</option>
    <option value="2">Producto 2<option>
    <option value="3">Producto 3</option>
    <option value="4">Otro</option>
</select>


<?php
if(isset($_POST['submit']){
$error = false;
$mensaje = "";
if($_SESSION['vcode'] != $_POST['vcode']) {
    $mensaje+= "Los caracteres no coincide con el código captcha";
    $error = true;
}
if($_POST['producto'] == 0){
     $mensaje+= "Debe seleccionar un producto";
     $error = true;
}
if($error){
     echo $mensaje;
}else { 
     $asunto = "";
     $message = "Usuario:".$_POST['name']." Email:".$_POST['email']." Telefono ".$_POST['phone']." Informacion ".$_POST['message'];
     $destino = "[email protected]";
     $remitente = "From: [email protected]";

     mail($destino,$asunto,$message,$remitente);
     unset($_POST['submit']);
     echo "Gracias por sus comentarios";
}
}
?>
1
  • 2
    Los comentarios no deben usarse para discusiones extendidas; esta conversación ha sido trasladada a un chat.
    – user227
    Commented el 19 dic. 2016 a las 4:36

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.