PHP форма связи: от базовой отправки до защиты от спама

Расширенные примеры кода для формы обратной связи PHP

Пример 1. Полный скрипт с PHPMailer, валидацией, reCAPTCHA и AJAX

<?php
require 'vendor/autoload.php';

use PHPMailer\PHPMailer\PHPMailer;
use PHpmailer\PHPMailer\Exception;

session_start();
header('Content-Type: application/json');

$response = ['success' => false, 'message' => ''];

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    $response['message'] = 'Неверный метод запроса';
    echo json_encode($response);
    exit;
}

// reCAPTCHA
$secretKey = '6LeIxAcTAAAAAGG-vFI1TnRWxMZNFuojJ4WifJWe';  // тестовый ключ
$token = $_POST['g-recaptcha-response'] ?? '';
$verify = file_get_contents("https://www.google.com/recaptcha/api/siteverify?secret=$secretKey&response=$token");
$captcha = json_decode($verify);
if (!$captcha->success || $captcha->score < 0.3) {
    $response['message'] = 'Подтвердите, что вы не робот';
    echo json_encode($response);
    exit;
}

// Валидация
$name = trim($_POST['name'] ?? '');
$email = filter_var($_POST['email'] ?? '', FILTER_VALIDATE_EMAIL);
$message = strip_tags(trim($_POST['message'] ?? ''));

if (!$email || strlen($name) < 2 || strlen($message) < 10) {
    $response['message'] = 'Проверьте правильность заполнения полей';
    echo json_encode($response);
    exit;
}

// PHPMailer
$mail = new PHPMailer(true);
try {
    $mail->isSMTP();
    $mail->Host = 'smtp.example.com';
    $mail->SMTPAuth = true;
    $mail->Username = 'user@example.com';
    $mail->Password = 'password';
    $mail->SMTPSecure = 'tls';
    $mail->Port = 587;

    $mail->setFrom('from@example.com', 'Site');
    $mail->addAddress('admin@example.com');
    $mail->addReplyTo($email, $name);
    $mail->isHTML(true);
    $mail->Subject = 'Новое сообщение с сайта';
    $mail->Body = "<b>Имя:</b> $name<br><b>Email:</b> $email<br><b>Сообщение:</b><br>" . nl2br($message);
    $mail->AltBody = "Имя: $name\nEmail: $email\nСообщение: $message";

    // Вложение (если есть)
    if (!empty($_FILES['attachment']['tmp_name'])) {
        $file = $_FILES['attachment'];
        if ($file['error'] === UPLOAD_ERR_OK) {
            $allowed = ['image/jpeg', 'application/pdf', 'text/plain'];
            $finfo = finfo_open(FILEINFO_MIME_TYPE);
            $mime = finfo_file($finfo, $file['tmp_name']);
            finfo_close($finfo);
            if (in_array($mime, $allowed) && $file['size'] < 2*1024*1024) {
                $mail->addAttachment($file['tmp_name'], $file['name']);
            } else {
                $response['message'] = 'Недопустимый тип файла или размер больше 2 МБ';
                echo json_encode($response);
                exit;
            }
        }
    }

    $mail->send();
    $response['success'] = true;
    $response['message'] = 'Сообщение успешно отправлено!';
} catch (Exception $e) {
    $response['message'] = 'Ошибка при отправке: ' . $mail->ErrorInfo;
}

echo json_encode($response);

{
  "success": true,
  "message": "Сообщение успешно отправлено!"
}

Пояснение

Скрипт обрабатывает все этапы: валидацию, капчу, вложение и отправку через SMTP. Возвращает JSON для AJAX-обработчика на фронтенде. В коде используется finfo для надёжного определения MIME-типа.

Пример 2. Отправка без SMTP с использованием mail() и защитой от инъекций

<?php
function safeMail($to, $subject, $message, $from) {
    $subject = mb_encode_mimeheader($subject, 'UTF-8');
    $headers = "From: $from\r\nReply-To: $from\r\nContent-Type: text/plain; charset=UTF-8\r\nX-Mailer: PHP/" . phpversion();
    // проверка на инъекции
    if (preg_match('/[\r\n]/', $from.$subject.$message)) {
        return false;
    }
    return mail($to, $subject, $message, $headers);
}

$to = 'admin@example.com';
$from = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
$message = strip_tags($_POST['message']);
if (safeMail($to, 'Сообщение', $message, $from)) {
    echo 'Отправлено';
} else {
    echo 'Ошибка';
}

Отправлено

В этом примере функция safeMail проверяет наличие символов CR/LF в заголовках. Кодировка темы задаётся явно. Не рекомендуется использовать в продакшене из-за ограничений mail().

Пример 3. Асинхронная отправка с прогресс-баром и проверкой на дубли

// JavaScript с отображением прогресса
const form = document.getElementById('feedbackForm');
form.addEventListener('submit', async (e) => {
    e.preventDefault();
    const submitBtn = form.querySelector('button');
    submitBtn.disabled = true;
    submitBtn.textContent = 'Отправка...';
    const formData = new FormData(form);
    // токен для предотвращения дублей
    formData.append('token', sessionStorage.getItem('formToken') || createToken());
    try {
        const res = await fetch('process.php', { method: 'POST', body: formData });
        const data = await res.json();
        if (data.success) {
            alert('Сообщение отправлено');
            form.reset();
            sessionStorage.removeItem('formToken');
        } else {
            alert(data.message);
        }
    } catch (err) {
        alert('Ошибка соединения');
    }
    submitBtn.disabled = false;
    submitBtn.textContent = 'Отправить';
});

function createToken() {
    const token = Math.random().toString(36).substr(2, 15);
    sessionStorage.setItem('formToken', token);
    return token;
}

После успеха: форма сбрасывается, кнопка активна. При повторной отправке с тем же токеном сервер отвергает запрос.

На сервере проверяется уникальность токена (хранится в сессии или БД). Это предотвращает повторную отправку при двойном клике или обновлении страницы.

Пример 4. Отправка через внешний API (Telegram Bot)

<?php
$botToken = '123456:ABC-DEF';
$chatId = '987654321';
$message = "Новое сообщение:\nИмя: {$_POST['name']}\nEmail: {$_POST['email']}\nТекст: {$_POST['message']}";
$query = http_build_query([
    'chat_id' => $chatId,
    'text' => $message,
    'parse_mode' => 'HTML'
]);
$url = "https://api.telegram.org/bot$botToken/sendMessage?$query";
$ch = curl_init($url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
$result = curl_exec($ch);
curl_close($ch);
$response = json_decode($result, true);
if ($response['ok']) echo 'Сообщение отправлено в Telegram';
else echo 'Ошибка: ' . $response['description'];

Сообщение отправлено в Telegram

Данный метод не требует почтового сервера. Сообщения уходят в личный чат или группу. Недостаток: все данные публикуются в Telegram, необходима осторожность с конфиденциальностью.