मान्य ईमेल पते - XSS और SQL इंजेक्शन

Question

चूंकि ईमेल पते के लिए बहुत से वैध वर्ण हैं, तो क्या मान्य ईमेल पते हैं जो स्वयं XSS हमलों या SQL इंजेक्शन हो सकते हैं? मुझे इस पर वेब पर कोई जानकारी नहीं मिली।

ई-मेल एड्रेस के स्थानीय-भाग इन ASCII वर्ण के किसी भी उपयोग कर सकते हैं:

• अपरकेस और लोअरकेस अंग्रेज़ी अक्षरों (a-z, A-Z)
• अंक 0 9
• अक्षरों! # $% & '* + -/=?^_ `{| } ~
• कैरेक्टर। (डॉट, अवधि, पूर्ण स्टॉप) बशर्ते कि यह अंतिम वर्ण नहीं है, और यह भी प्रदान किया जाता है कि यह लगातार दो या अधिक बार प्रदर्शित नहीं होता है (उदाहरण के लिए जॉन..डो @ example.com)।

http://en.wikipedia.org/wiki/E-mail_address#RFC_specification

मैं इन हमलों को रोकने के लिए कैसे नहीं पूछ रहा हूँ (मैं पहले से ही parametrized प्रश्नों एचटीएमएल शुद्ध उपयोग कर रहा हूँ और भागने /), इस अधिक एक-का-प्रमाण अवधारणा है।

पहली बात जो दिमाग में आई थी, 'OR 1=1--@gmail.com थी, सिवाय इसके कि रिक्त स्थान की अनुमति नहीं है। क्या सभी एसक्यूएल इंजेक्शन रिक्त स्थान की आवश्यकता है?

Answer 1

रिक्त स्थान की अनुमति दी जाती है अगर वे उद्धरण में संलग्न कर रहे हैं, हालांकि, तो "'OR 1=1--"@gmail.com एक वैध ई-मेल एड्रेस है। इसके अलावा, यह शायद का कोई खास महत्व है, लेकिन तकनीकी रूप से बोल रहा है, इन दोनों मान्य ई-मेल पते हैं:

' BAD SQL STUFF -- <fake@ryanbrunner.com> 
fake@ryanbrunner.com (' BAD SQL STUFF --) 

यहां तक ​​कि अगर यह संभव नहीं था, वहां अभी भी कोई कारण नहीं है कि आप paramaterized प्रश्नों का उपयोग नहीं किया जाना चाहिए है और उपयोगकर्ताओं को प्रदर्शित सभी उपयोगकर्ता द्वारा इनपुट डेटा एन्कोडिंग।

Answer 2

/^[a-z0-9.-_+]@[a-z0-9.-]$/i 

मैं कि सभी ईमेल पतों की 99.9999% की तरह मेल खाता है लगता है;)