40、Drupal开发：安全与最佳实践指南

Drupal开发：安全与最佳实践指南

1. 开发项目选择建议

一般来说，不建议将开发一个优秀的文件管理模块作为你的第一个Drupal项目。相反，应该先研究现有的、已经存在一段时间的文件相关模块。

2. 邮件头编码

在编写任何获取用户输入并将其构建到电子邮件消息中的代码时，需要考虑以下两个事实：
- 电子邮件头由换行符分隔（只有后面不跟空格或制表符的换行符才被视为头分隔符）。
- 如果不检查用户输入是否包含换行符，用户可以在电子邮件正文中注入自己的头信息。

例如，当你期望用户输入邮件主题，而用户输入了包含转义换行符（%0A）和空格（%20）的字符串：

Have a nice day%0ABcc:spamtarget@example.com%0A%0AL0w%20c0st%20mortgage!

结果将是：

Subject: Have a nice day
Bcc: spamtarget@example.com
L0w c0st mortgage!

因此，Drupal内置的邮件函数 drupal_mail() （位于 includes/mail.inc ）会通过 mime_header_encode() 对所有头信息进行清理。任何不可打印的字符将根据RFC 2047编码为ASCII可打印字符，从而消除安全