Hallo,

für meine Homepage habe ich ein Kontaktformular erstellt; dabei kann auch per Radio-Button (k)ein Newsletter abonniert werden. Nun ist mir etwas unerklärliches passiert; nämlich bekam ich eine mail, in der die Benachrichtigung wegen des Newsletterbezugs komplett leer war. Das kann ich mir nicht erklären, da doch AFAIK immer einer von mehreren Radio-Buttons innerhalb eines Formulares aktiviert sein muss.

Hier die zentralen Stellen:


und dann


Wo liegt mein Fehler? An der entsprechenden Stelle in der mail müsste doch immer "ja" oder "nein" stehen...

Danke, Pida

oder, der poster hat nicht deine webseite, sondern ein script benutzt

Und eventuell damit ausprobiert, ob er dein Skript zum Spammen benutzen kann, sprich: ob sich beliebige Empfänger eintragen lassen (was offensichtlich nicht geht).

Man sollte sich immer vor Augen halten, dass keine Beschränkung, die per HTML oder Javascript oder sonst irgendwie dem Browser auferlegt wird, zwangsläufig eingehalten werden muss. Du hast das HTML zwar selbst geschrieben, aber es wird nicht von einem System ausgewertet, ueber das Du Kontrolle hast. Der Benutzer kann es beliebig editieren (oder wie esskar sagt: Man kann ein Script benutzen).

Daher sollten Sicherheitsueberpruefungen immer noch einmal vom Server (hier von PHP) durchgefuehrt werden.

[quote=betterworld,04.07.2006, 01:15]Daher sollten Sicherheitsueberpruefungen immer noch einmal vom Server (hier von PHP) durchgefuehrt werden.[/quote]
beispiel: wenn in $_POST["newsletter"] nicht "ja" (obwohl ich "1" für "ja" und "0" für "nein" besser fände) steht, dann bedeutet dies immer "nein"

Danke für eure Antworten. Wenn ich es richtig verstehe, hat also jemand ein Formular verschickt, ohne dafür meine eigene Seite zu benutzen.

Lässt sich das denn verhindern? Mir schwebt da etwas vor im Stil von



Gruß, Pida

[quote=Pida,04.07.2006, 18:39]Lässt sich das denn verhindern?[/quote]
kurze antwort: nein.
lange antwort: es läßt sich nur erschweren. eine art session-id z.B.
oder mit einen captcha. das ist derzeit noch am schwersten.
das bedeutet aber aufwand, wenn du nicht mit einem schlag alle
sehbehinderten surfer von deinem formular ausschließen willst.

Quote

Mir schwebt da etwas vor im Stil von

Code: (dl )

1
2
3

if (mail kommt von meiner Formularseite){
mail ....
}

eine mail kann gar nicht von deiner formularseite kommen. alles, was von
der seite zu deinem skript kommt, sind parameter/werte-paare.

ein skript, was einen browser imitiert, ist nichts anderes als
ein browser. einziger unterschied: vor dem browser sitzt id.R.
ein intelligenter mensch, während ein automatisiertes skript keine
intelligenz besitzt.