cakephp 表单收到垃圾邮件 - 怎么办？

Question

我有一个简单的 cakephp 表单，带有提交到数据库的验证。它不需要登录用户。

不通过浏览器正常使用表单并且不填写所有必填字段会导致验证错误并且不会提交表单。

然而，我似乎收到了某人/某事的垃圾邮件。他们正在填写通用命名字段（姓名、电子邮件、消息等），但不是模糊的字段，并且这些记录将进入数据库，因此它们显然绕过了验证！

我的问题是如何？？？ （我怎样才能阻止它们？）

我感觉我错过了一个明显的漏洞或其他东西...

这是我的添加方法：

    function add() {
    $this->pageTitle = 'Projects - Submit Project';
    if (!empty($this->data)) {
        $this->Project->create();
        if ($this->Project->save($this->data)) {
            $this->Session->setFlash(__('The Project has been saved', true));
            $this->_sendStaffMail($this->Project->id);
            $this->_sendClientMail($this->Project->id);
            $this->redirect(array('controller' => 'pages', 'action'=>'thanks'));
        } else {
            $this->Session->setFlash(__('The Project could not be saved. Please, try again.', true));
        }
    }
}

来自模型的验证：

    var $validate = array(
    'name' => array('notempty'),
    'department' => array('notempty'),
    'client' => array('notempty'),
    'contact_name' => array('notempty'),
    'email' => array('email'),
    'phone' => array('notempty'),
    'title' => array('notempty'),
    'background' => array('notempty'),
    'objectives' => array('notempty'),
    'target_audience' => array('notempty'),
    'message' => array('notempty'),
    'logos' => array('notempty'),
    'images' => array('notempty'),
    'print_info' => array('notempty')

);

我还应该提到我已经尝试过使用安全组件，但是当我的项目中有大量表单时，这似乎太过了（尽管它们支持身份验证登录）

Answer 1

您需要扩展验证数组以包含比简单语法允许的更多选项。

<?php
    public $validate            =    array(
        'name'                  =>   array(
            'nameNotEmpty'      =>   array(
                'required'      =>   true, // make sure the $data[ 'Model' ][ 'name' ] key exists
                'allowEmpty'    =>   false, // make sure the $data[ 'Model' ][ 'name' ] value exists
                'rule'          =>   array( 'notEmpty' ), // make sure the value isn't empty.
                'message'       =>   'Name is required.',
            ),
        ),
    );
?>

对规则的注释应该解释为什么每个键都在那里。 notEmpty 规则和allowEmpty => false 是多余的，但我想在声明中添加一条规则，以便您可以看到其中的密钥，并记住将其替换为适当的验证规则（ isUnique、minLength 等）

编辑：更多信息

基本上发生的事情是有人发布请求直接到包含带有明显键的后数组的表单操作。根据您的验证规则，如果省略了某些更具体信息的键，则不会对这些字段进行验证检查。要使 cake 不仅验证密钥的数据，还验证密钥本身的存在性，请使用必需的 =>;真正的旗帜。如果键还不能只包含空格或空值（required => true 只是确保该字段包含在表单中），则可以使用allowEmpty =>错误的。

Answer 2

我猜测垃圾邮件发送者传递的帖子数据不包含 target_audience 等字段，因此在保存模型时 Cake 不会验证它。

您想要做的是添加“必需”验证规则。

“空”规则仅检查数据数组中传递的值是否不是空格，“必需”规则确保该字段在保存模型之前实际存在。

Answer 3

我在这里说的是一般性的（即不是 CakePHP 特有的），但是验证码字段值得考虑吗？

另外，molom 反垃圾邮件服务怎么样？除了那些流量大的网站运营商之外，许多网站运营商都可以免费使用此功能。适用于任何 CMS。

Answer 4

您的 CakePHP 是否接受安全或证明用户是人类的问题作为可选参数？看看 CakePHP 使用从客户端表单传递到服务器的 HTTP 表单 POST CGI 参数数据做什么（即执行流向哪里，运行什么 PHP 代码）。

您的数据库登录名/密码足够安全吗？