PHP mail(): Каковы потенциальные проблемы, на которые нужно обратить внимание?

Учитывая контактную форму, которая принимает пользовательский ввод пользователя (например, адрес, строку темы, сообщение), каковы некоторые последствия для безопасности и "gotchas", чтобы быть осторожным?

Как минимум, адрес электронной почты пользователя должен быть проверен (вероятно, с использованием filter_var() или эквивалентного). Из того, что я прочитал, это также должно помешать добавлению дополнительных заголовков в script.

Как насчет темы и содержания сообщения? Требуются ли какие-либо санитарные условия для этих месторождений? Я полагаю, что почтовый клиент предотвратит запуск таких сценариев, как скрипты, и меня не особенно беспокоят такие вещи, как теги HTML (если кто-то хочет тратить время на стильный адрес электронной почты, что их прерогатива - я просто не буду видеть это: P). Если требуется санитария, какой лучший способ сделать это, не будучи слишком навязчивым (т.е. Сохранить характер электронной почты одинаковым)?

Ответы

mail($to, $subject, $message, 'From: $email');