邮件和FILTER_SANITIZE_STRING的良好做法

Question

我用它来发送电子邮件：

$_POST['message'] = filter_var($_POST['message'], FILTER_SANITIZE_STRING);
// …    
mail($mail_to, $subject, $message,  'MIME-Version: 1.0' ."\r\n" .'Content-type: text/plain; charset=UTF-8' . "\r\n".'From: '.$_POST['email'] . "\r\n" .'Reply-To: '.$_POST['email']. "\r\n" );

它有效，但引用如下："。
filter_var()中有一个选项可供报价，但它是否安全？

Answer 1

如果您以HTML格式而不是纯文本格式发送邮件，则会正确显示已清理的字符。可以通过更改以下代码在代码中执行此操作：

'Content-type: text/plain; charset=UTF-8'

到

'Content-type: text/html; charset=UTF-8'