Programátoři líní, naučte se validovat e-mailové adresy!

29.1.2010 12:02 | Přečteno: 9280× | Ostatní | | poslední úprava: 29.1.2010 16:36

Několik zásad, jak (ne)validovat e-mailové adresy.

S většinou webových lepilů je problém v tom, že přehnaně kontrolují e-mailové adresy, typicky za pomoci regexpů od jiných lepilů. Ukažme si tedy, jak vypadají platné e-mailové adresy:

• "Abc@def"@example.com - povšimněte si, že při zpracování stringu nemůžete spoléhat na to, že za prvním zavináčem je doména!
• Fred\ Bloggs@example.com - ano, v adrese mohou být i mezery
• user+mailbox@example.com - tohle je podoba adresy, kterou často využívám, přesto ani po dohadování s dutými hlavami na tech. podpoře neuznají svou chybu
• customer/department=shipping@example.com - extravagantní, ale stále validní
• $A12345@example.com
• !def!xyz%abc@example.com
• _somename@example.com

Jak říká RFC 3696 (a další, hlavně 5322, je toho vícero a je důležité číst i erraty), v místní části e-mailové adresy se může nacházet libovolný tisknutelný znak s výjimkou @ \ , " [ ] < > : ; ( ), přičemž i tyto znaky se vyskytnout mohou, pokud jsou escapovány. Už jen drobností je, že nemůžeme mít víc teček za sebou nebo že některé znaky nemohou uvozovat nebo ukončovat místní část, ale to už si můžete přečíst v RFC. Důležité je nesnažit se přehnaně validovat ani doménové jméno. V době TLD typu .museum je absurdní povolovat za poslední tečkou jen tři znaky.

Než vymýšlet hovadiny vyjde lépe si v řetězci najít poslední zavináč a jednoduše zkontrolovat, zda je doménové jméno validní. Před tímto zavináčem se raději nechovat jako kozel zahradníkem a nekontrolovat nic, než to kontrolovat blbě. Pro jistotu se podívat, jestli se do řetězce nedostaly netisknutelné znaky. Jak prosté!

       

Komentáře

[Luk]

Tohle mi něco připomíná (to je právě ten extrémní případ formální validace TLD - přitom zbytečný, protože je lepší zjistit v DNS, zda doména v adrese existuje).

[Radovan Garabík]

A samozrejme, meno@[ip.ad.re.sa] zožerie VEĽMI MÁLO formulárov...

[Jendа]

jenda@[62.24.95.89] by taky mělo fungovat.

Jsem líný hledat, jak by to bylo s IPv6 .

[Michal Kubeček]

xyz@[IPv6:2001:4f8:0:2::18]

[Petr Tomášek]

A je adresa "<script>do_something_nasty(vole);</script>@nikde.vole" validní?

[Petr Tomášek]

Nebo ještě jinak, to že je něco validní podle RFC, ještě neznamená, že si to nechám líbit ;)

[Jendа]

Co nahrazovat při zobrazování na webu zobáčky entitami &lt; a &gt;?

[lmanik]

a k cemu tam takova adresa bude? proc ju tam vubec ukladat?

[Luboš Doležel (Doli)]

Je platná. A co víc, escapování vstupu od uživatele je snad samozřejmost!

Cílem je, aby lidi používali správné validátory adres namísto hrůz, co používají teď.

[lmanik]

ano krasne je jak je validni, a k cemu takova adresa bude? kdyz tam budou sice krasne propasovane paznaky ktere jasne slouzi k ucelu poskozeni a ne kontaktu? proc mam tolerovat nejake hovna vkladane do databaze?

[Jendа]

kdyz tam budou sice krasne propasovane paznaky ktere jasne slouzi k ucelu poskozeni a ne kontaktu? proc mam tolerovat nejake hovna vkladane do databaze?

Pokud lze tvá aplikace poškodit (ať už XSS nebo nějaká forma SQL injection), hledal bych chybu nejprve v ní.

[lmanik]

ja to samozrejme escapuju i pri vypisu :) o tom se tu snad nekdo bavi? ja se ptam proc bych mel poustet do databaze takove hovna, je tu nekdo schopny nato odpovedet?:)

[AHAHA]

Protoze je to validni adresa?

Jinak, jak se algoritmicky pozna hovno od nefekalni emailove adresy?

[lmanik]

<script>do_something_nasty(vole);</script>  toto je validni jmeno? co muzu od takoveho uzivatele cekat za odpoved kdyz mu napisu?

[Jendа]

Protože automatem bez AI nemáš šanci rozlišit, jestli jsou závorka/zobáček/středník použity smysluplně, nebo je to útok?

[lmanik]

az narazim na problem kdy si u me bude uzivatel s adresou <tak to mam hustej mejl>@.... stezovat tak budu brat vytku zobacku vazne, jeste jsem nenarazil na cloveka se zobackovou adresou :)

[AHAHA]

Programator, ktery po tobe prevezme projekt bude urcite rad, ze jsi mu nechal dedictvi "opravim to az si toho nekdo vsimne".

Uvedom si, ze vetsinu lidi vubec nenapadne, ze znaky < a > by mely byt necim specialnim (a takyze nejsou). To, zes nedostal zadny ohlas muze byt i tim, ze takovy uzivatel muze postupovat stylem "ma to rozbity, jdu jinam".

[Heron]

Tak on to nemá rozbitý. To, že RFC něco umožňuje neznamená, že to nelze omezit. Emailovou adresu splňující jeho kritéria může mít kdokoliv (tedy nikoho neomezuje) a pokud tam nepouští jedince se stupidní emailovou adresou (loginem, čímkoliv) tak je to jeho věc (a spíše asi výhoda).

Ostatně zrovna ten login také z technického hlediska může být jakýkoliv řetězec, ale najděte mi soudného správce, který povolí uživateli login / jméno / nick ".-+~~+-.".

[AHAHA]

login a email jsou dvě věci (pokud teda nejsou to samé :D)

Představte si situaci, kdy si jako začátečník zvolíte adresu např. k>1@seznam.cz (K>1 je jméno jedné kapely), server vám to normálně povolí, protože je to validní adresa. Pak ale postupně zjišťujete, že vám ji servery odmítají. Máte si kvůli tomu měnit email?

To samé se může stát, když dostanete email přidělený z práce nebo (obzvlášť) univerzity.

Hlavně ale email na webech většinou poskytuje úplně jinou funkci než identifikaci a proto by na něj neměly být kladeny stejné nároky jako na login. Email je často stejně pro ostatní uživatele neviditelný ...

[lmanik]

Jeste k tomu seznamu, zkousel jste takovou adresu vytvorit?

[AHAHA]

Ne.

[lmanik]

Tak ja vam usetrim trochu casu... ano nelze vytvorit :)

[ludvik]

Pro změnu jde na seznamu (nebo ještě nedávno šlo) vytvořit tečku před zavináčem. Takový člověk pak může psát jenom v rámci seznamu

[burlog]

Toto uz neni nejakou dobu pravda.

[pht]

Ostatně zrovna ten login také z technického hlediska může být jakýkoliv řetězec, ale najděte mi soudného správce, který povolí uživateli login / jméno / nick ".-+~~+-.".

To je nápad. Kolotoč!

[lmanik]

Takze postfix admin, ktery vytvoreni adresy s >< nepovoluje je taky spatny?

[AHAHA]

Ono je to slozitejsi. Pokud 99% mail serveru, webu s registraci atp. nepodporuje maily s < a >, tak to nevadi, protoze respektuje de facto standard. Problem je tehdy, pokud to je jednou tak a podruhe tak.

Pak se mi zda, ze je lepsi implementovat: - u freemailu restriktivni politiku - nepovolovat maily se znaky, ktere nektere servery, weby neakceptuji ... - u webu s registraci, mail serveru tolerantnejsi politiku (obzvlast kdyz mame RFC, ktere definuje nadmnozinou vsech v praxi moznych mailu)

[lmanik]

jen tak mimochodem zkousel jsi takovej email zadat zde na abicku v profilu?;)

[Luboš Doležel (Doli)]

Tam to ověřuje javovská třída. Pokud to dělá blbě, nadávky směrem na Sun Microsystems.

[lmanik]

Takze jsou take lini? :) Ja nemam potrebu nekam nic smerovat protoze nemam zapotrebi vytvaret a pouzivat adresy a snejakyma <|>. Vy si tady stezujete na line programatory.

[Luboš Doležel (Doli)]

Nejsou líní, prostě stará norma. Tím chci říct, že '+' tam třeba projde a vykřičník taky. Což se o jiných webech nedá říct.

[lmanik]

Tak o tech se ja nebavim, jen me zvedlo tlak to tvrzeni s tim < script >.

[pavlix]

Nejpodstatnější je ten +, protože ten umí přidávat tagy k mail adresám i na většině freemailů, co znám. A hovádka ho prostě zakazujou, přitom je to docela dobrá ochrana proti spamu (za předpokladu, že to nepoužívá většina lidí, což je celkem validní předpoklad).

[PetrProchy]

A mohu vědět, která třída to je?
V API jsem na žádnou takovou nenarazil, většinou jsem viděl validaci přes vlastní implementaci nějakým regulárním výrazem.

Děkuji

[Luboš Doležel (Doli)]

javax.mail.internet.InternetAddress

[Luboš Doležel (Doli)]

Ještě taková drobnost - to se <script>, co tu v diskuzi koluje, skutečně není platná adresa. Tak jako tak Java používá obsolete RFC822.

[rastos]

Takto?

if (document.register.email.value.indexOf("@")<1)
{alert("Toto nie je platná emailová adresa !");
 document.register.email.focus();
return false;}
txt=document.register.email.value;
if ((txt.indexOf(".com")<5)&&(txt.indexOf(".cz")<5)&&(txt.indexOf(".org")<5)
&&(txt.indexOf(".gov")<5)&&(txt.indexOf(".net")<5)&&(txt.indexOf(".sk")<5)
&&(txt.indexOf(".mil")<5)&&(txt.indexOf(".edu")<5)&&(txt.indexOf(".as")<5)&&(txt.indexOf(".info")<5) &&(txt.indexOf(".eu")<5))
{alert("Toto nie je platná emailová adresa !");
return false;}

A to ešte nehovorím o e-mail adrese v tvare server!user

[vlastikroot]

LOL

[Jendа]

Hlavně, že tam mají .as. Musel jsem se podívat, které zemi to patří, a pak ještě do mapy, kde vlastně je. Nebo znáte nějakou akciovku, která by to používala?

To by mě zajímalo, jestli mají nějakou kontrolu i na serveru…

[vlastikroot]

Samý jedničky, heč

Opravdu si myslíš, že je s tebou všechno v naprostém pořádku ?

[Jendа]

Laholův komplex?

(náhodou je nás ve škole s průměrem 1,000 pět, to víš, prestižní gymnázium )

[vlastikroot]

Aha No tak u nás má nejlepší průměr 1.4, já mám 1.8 (4 z češtiny, trojky z občanky a technický dokumentace, ňáká ta dvojka z tělocviku a pak jedničky).

[Michal]

Však jeho to časem přejde

[Václav HFechs Švirga]

Az zacne chlastat .

[Václav Kramář]

O jedné firmě bych věděl. Týnecká Jawa. Ještě nedávno používali jawa.as, protože jawa.cz patří Divišovské Jawě. Už ale přešli na jawa.eu.

[AHAHA]

Je to úplně OT, ale připomnělo mi to, jak jsme se na střední učili JawaScript :D

[MaFy]

No jasne, treba pan Kocka - www.prostor.as

[Marv-CZ]

A proč by měli složitě měnit validátor, když stačí změnit hlášku z "Toto není platná e-mailová adresa" na "Takovouto e-mailovou adresu na našem webu neakceptujeme". Tím to bude formálně v pořádku a magoři, co si dávají do e-mailu zobáčky si můžou. (příspěvek je míněn jako vtip )

[jhr]

+1 uz jsem myslel ze nikoho nenapadne, ze staci navstevnikum nelhat v alertu byt ferovi.

[error414]

email je v pohode, ten si kazdy zmeni, ale kontrola rodneho cisla je teprve maso.

[kyknos]

Taky jsem si ho zmenil... mel jsem nevalidni :)

[MaFy]

Myslim, ze myslel, aby bylo rodne cislo v rozumnych cislech (den, mesic) atd

[kyknos]

Nevim co myslel, ale ja jsem mel nevalidni r.c. , ktere neprochazelo validatoryt, coz je obcas docela neprijemnost.

[Georgius]

Škoda, zkoušel jsem registrovat novou e-mailovou adresu
<script>alert(\"My name is George\")\;</script>@gmail.com ani &tl;script >alert(\"My name is George\")\;</script>@seznam.cz mi neprošlo. Budu to muset zkusit doma na mém eximu ...

[Jan Zahornadsky]

Pro jistotu se podívat, jestli se do řetězce nedostaly netisknutelné znaky.

Co je to netisknutelný znak? Něco jako tady: 這麼奇怪@server.com?

A přesně na tomto případě mě taky napadá, nebude potřeba to nějak (na přijímací straně, než tu adresu začne k nečemu používat) to překonvertovat na ten xn--something string?

[Luboš Doležel (Doli)]

xn--něco jen u domén, místní část viz Wikipedii.

Ale zrovna diakritika je něco, co se mi u e-mailů a domén moc nezamlouvá. Kompatibilita je jedna věc, ale druhá a zásadní věc je zvyk lidí v adresách diakritiku nepoužívat.

[AHAHA]

U domén se jedná o prasárnu maximální, jen registrátoři, pišeři (stejně vypadající znaky s jinou hodnotou u latinky a azbuky, např.) a spekulanti si namastí kapsy :/

[Jan Zahornadsky]

Ne, unikód je prasárna maximální

[Petr Tomášek]

לך לעזה! يا كس امك!

[Jan Zahornadsky]

Na to bych mohl odpovědět něco o psech Chishi nebo trávově bahenních koních, ale na rozdíl od Vás se zdržím.

[trekker.dk]

Stejně vypadající znaky u latinky a azbuky neprojdou pravidlem o jedné znakové sadě.

[Filip Jirsák]

To ale vůbec není překážka tomu, aby to v diskusi týkající se IDN pokaždé někdo nemohl zmínit jako závažný problém…

[vlastikroot]

Jak ta kontrola vypadá (funguje) v praxi? Dáš link na utilitku co to dokáže skontrolovat?

[Jendа]

Neměli by to kontrolovat registrátoři?

[vlastikroot]

No ale na to je snad potřeba nějakej soft ne? Nebo jak to poznají?

[Petr Tomášek]

Myslíš 'soft' sekretářku

[trekker.dk]

Soft se nechá napsat, u EU domén se můžeš zeptat tady atd.

[vlastikroot]

Díky, vypadá to rozumně.

[Andrej Herceg]

A pre niektoré ďalšie domény sú odkazy na správny dokument na wikipedii.

[Josef Kufner]

Např. UTF-8 ?

[Michal Kubeček]

Spíš unicode, UTF-8 není znaková sada ale kódování. Bohužel nám zůstala z dob osmibitových kódování tradice psát "charset" tam, kde je ve skutečnosti myšleno "kódování" (např. v hlavičkách HTTP nebo e-mailu), což jen přispívá ke všeobecnému zmatku.

[trekker.dk]

Jeden by řekl, že tady, když se napíše, že problémem je podobný (stejný) tvar některých znaků a řešením je povolení jedné znakové sady, tak všem dojde, že se jedná o takové znakové sady, které obsahují jen jednu abecedu.

Jako vždycky i tentokrát se ovšem našel někdo, kdo chce bejt za chytráka a tak ze sebe dělá blbce.

[Michal Kubeček]

To by ovšem zasloužilo přesnější definici. Navíc takové omezení by přinášelo určité problémy, např. i jméno psané azbukou může být žádoucí doplnit o znaky z jiné "sady" (tečka, pomlčka, podtržítko).

[Jan Zahornadsky]

Není mi moc jasné, proč xn--něco jen u domén... V té wiki je přímo příklad 甲斐@黒川.日本; ten se teda převede na 甲斐@xn--něco, je to tak? A jak pozná jakýkoli software na zpracování té e-mailové adresy, co znamená ono 甲斐 (v jakém je kódování, třeba)? Nebo prohlásili UTF-8 jako jediné správné?

[Filip Jirsák]

Protože IDN je Internationalized Domain Names, a pro nic jiného se punycode zatím nevyužívá. UTF-8 není jediné správné, je to kódování punycode. Existuje několik způsobů kódování unocide znaků, jedním je UTF-8 a další třeba právě punycode.

[Petr Tomášek]

Jó a ještě taky třeba GB18030, že?...

[Luboš Doležel (Doli)]

Nebo prohlásili UTF-8 jako jediné správné?

Asi tak. Je to ASCII kompatibilní a obsáhne to všechno...

[Filip Jirsák]

Vzhledem k IDN a brzkému zavedení IDN do TLD bych to nepřeháněl ani s validací té části za zavináčem. Pokud to někdo udělá přesně podle RFC, tak ať to validuje přesně – ale to není nic jednoduchého. Ale pokud někdo validuje stylem „v doméně musí být aspoň jedna tečka [nemusí, už jsem viděl platné e-maily v TLD] a TLD má maximálně tři znaky“, pak ať radši kontroluje jenom přítomnost zavináče.

[Josef Kufner]

Ještě by mohl kontrolovat, že ten zavináč není na okraji. Takže /.+@.+/ je celkem (graficky) hezké řešení