使用PHP和PHPMailer安全发送带附件的邮件：最佳实践与文件验证

composer require phpmailer/phpmailer

<form method="post" name="uploadproof" id="uploadproof" enctype="multipart/form-data">
    <input type="hidden" id="wrap" name="wrap" value="upload" />
    <input type="hidden" id="userid" name="userid" value="<?php echo htmlspecialchars($valid_user_id); ?>" /> 

    <!-- 允许用户选择多个图片文件 -->
    <input type="file" id="images" name="images[]" multiple="multiple" accept=".png,.jpg,.jpeg"/>   

    <input type="submit" id="upload" name="upload" class="send" value="Upload" style="float: none;padding:10px;" />
    <span id="load"></span>
    <br />
</form>

<?php
// 引入PHPMailer类
use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\Exception;

require 'vendor/autoload.php'; // 如果使用Composer安装

$statusMsg = '';
$msgClass = 'errordiv';

if (isset($_POST['upload'])) {
    // 假设 $valid_user_id, $row['emailid'], $row['fname'], $row['mobile'], $row['country'] 已通过安全方式获取
    // 示例数据，实际应从数据库或会话中获取
    $email = 'user@example.com'; // 假设从 $row['emailid'] 获取
    $name = 'John Doe'; // 假设从 $row['fname'] 获取
    $mobile = '1234567890'; // 假设从 $row['mobile'] 获取
    $country = 'Example Country'; // 假设从 $row['country'] 获取

    $subject = 'KYC Request'; // 假设从表单获取或预设
    $message = 'Please find the attached KYC documents.'; // 假设从表单获取或预设

    $uploadedFiles = [];
    $uploadErrors = [];

    // 检查是否有文件上传
    if (!empty($_FILES['images']['name'][0])) {
        $allowedTypes = ['jpg', 'png', 'jpeg'];
        $maxFileSize = 5 * 1024 * 1024; // 5MB

        foreach ($_FILES['images']['name'] as $key => $fileName) {
            $fileTmpName = $_FILES['images']['tmp_name'][$key];
            $fileSize = $_FILES['images']['size'][$key];
            $fileError = $_FILES['images']['error'][$key];
            $fileType = $_FILES['images']['type'][$key]; // MIME 类型

            // 1. 检查上传错误
            if ($fileError !== UPLOAD_ERR_OK) {
                $uploadErrors[] = "文件 '{$fileName}' 上传失败，错误代码: {$fileError}";
                continue;
            }

            // 2. 检查文件大小
            if ($fileSize > $maxFileSize || $fileSize === 0) {
                $uploadErrors[] = "文件 '{$fileName}' 大小无效或超过限制 ({$maxFileSize / (1024 * 1024)}MB)。";
                continue;
            }

            // 3. 检查文件扩展名
            $fileExt = strtolower(pathinfo($fileName, PATHINFO_EXTENSION));
            if (!in_array($fileExt, $allowedTypes)) {
                $uploadErrors[] = "文件 '{$fileName}' 的扩展名 '{$fileExt}' 不允许，只允许 JPG, JPEG, PNG。";
                continue;
            }

            // 4. 检查MIME类型（防止伪装）
            // 注意：$_FILES['type'] 依赖客户端报告，不可完全信任
            $finfo = finfo_open(FILEINFO_MIME_TYPE);
            $realMimeType = finfo_file($finfo, $fileTmpName);
            finfo_close($finfo);

            if (!in_array($realMimeType, ['image/jpeg', 'image/png'])) {
                $uploadErrors[] = "文件 '{$fileName}' 的真实MIME类型 '{$realMimeType}' 不允许。";
                continue;
            }

            // 5. 使用 getimagesize() 验证图片真实性
            $imageData = @getimagesize($fileTmpName);
            if ($imageData === false) {
                $uploadErrors[] = "文件 '{$fileName}' 不是有效的图片文件。";
                continue;
            }
            if (!in_array($imageData[2], [IMAGETYPE_JPEG, IMAGETYPE_PNG])) {
                $uploadErrors[] = "文件 '{$fileName}' 不是有效的 JPEG 或 PNG 图片。";
                continue;
            }

            // 6. 生成安全的文件名并临时移动文件
            // 为了安全，不使用原始文件名，而是生成一个唯一文件名
            $safeFileName = uniqid('upload_', true) . '.' . $fileExt;
            $uploadPath = sys_get_temp_dir() . DIRECTORY_SEPARATOR . $safeFileName; // 存储在系统临时目录

            if (move_uploaded_file($fileTmpName, $uploadPath)) {
                $uploadedFiles[] = [
                    'path' => $uploadPath,
                    'name' => $fileName // 使用原始文件名作为邮件附件显示名称
                ];
            } else {
                $uploadErrors[] = "文件 '{$fileName}' 无法移动到临时目录。";
            }
        }
    } else {
        $uploadErrors[] = '没有文件上传。';
    }

    // 如果有上传错误，显示错误信息
    if (!empty($uploadErrors)) {
        $statusMsg = implode('<br>', $uploadErrors);
        // 可以选择在这里终止脚本或继续处理没有错误的文件
    }

    // 如果没有严重错误且有文件可以发送
    if (empty($uploadErrors) || (empty($uploadedFiles) && !empty($uploadErrors))) { // 确保在没有文件上传时也能发送邮件
        // 实例化PHPMailer
        $mail = new PHPMailer(true); // 启用异常处理

        try {
            // SMTP 配置 (使用Gmail作为示例)
            $mail->isSMTP();
            $mail->Host = 'smtp.gmail.com';
            $mail->SMTPAuth = true;
            $mail->Username = 'your_gmail_username@gmail.com'; // 你的Gmail邮箱
            $mail->Password = 'your_gmail_app_password'; // 你的Gmail应用密码
            $mail->SMTPSecure = PHPMailer::ENCRYPTION_SMTPS; // 或 PHPMailer::ENCRYPTION_STARTTLS
            $mail->Port = 465; // 对于ENCRYPTION_SMTPS是465，对于ENCRYPTION_STARTTLS是587

            // 设置发件人
            $mail->setFrom('your_gmail_username@gmail.com', 'ECZ Members KYC');
            // 设置收件人
            $mail->addAddress('recipient_email@example.com'); // 收件人邮箱，例如公司的Gmail
            // 可以添加回复地址
            $mail->addReplyTo($email, $name);

            // 内容
            $mail->isHTML(true); // 设置邮件格式为HTML
            $mail->Subject = 'KYC Request Submitted by ' . htmlspecialchars($name);
            $mail->Body    = '<h2>联系请求已提交</h2>
                <p><b>姓名:</b> ' . htmlspecialchars($name) . '</p>
                <p><b>邮箱:</b> ' . htmlspecialchars($email) . '</p>
                <p><b>手机:</b> ' . htmlspecialchars($mobile) . '</p>
                <p><b>国家:</b> ' . htmlspecialchars($country) . '</p>
                <p><b>主题:</b> ' . htmlspecialchars($subject) . '</p>
                <p><b>消息:</b><br/>' . nl2br(htmlspecialchars($message)) . '</p>';

            // 添加附件
            foreach ($uploadedFiles as $file) {
                $mail->addAttachment($file['path'], $file['name']);
            }

            $mail->send();
            $statusMsg = '您的联系请求已成功提交！';
            $msgClass = 'succdiv';

            // 成功发送后，删除所有临时文件
            foreach ($uploadedFiles as $file) {
                @unlink($file['path']);
            }

        } catch (Exception $e) {
            $statusMsg = "邮件发送失败。Mailer Error: {$mail->ErrorInfo}";
            // 如果邮件发送失败，也尝试删除临时文件
            foreach ($uploadedFiles as $file) {
                @unlink($file['path']);
            }
        }
    } else {
        // 如果文件上传失败，但没有进入邮件发送逻辑
        $statusMsg = empty($statusMsg) ? '文件上传处理失败，请重试。' : $statusMsg;
    }
}
?>

<!-- 在HTML中显示状态消息 -->
<div class="<?php echo $msgClass; ?>">
    <?php echo $statusMsg; ?>
</div>