17370845950

本文介绍如何在 php 的 foreach 遍历中通过白名单机制过滤支付回调数据，仅保留 invoiceid、amount、item_name、firstname、lastname、email 和 website 等关键字段，避免邮件信息冗余。

在处理第三方支付网关（如 Authorize.Net）返回的原始响应数据时，$data 数组往往包含大量调试或内部字段（如 DataValue、DataDescriptor、Terms、TransID、Card_Holder 等），而实际业务通知邮件只需展示用户可读的核心交易信息。直接遍历全部键值不仅增加邮件体积，还可能暴露敏感或无关技术细节。

推荐采用白名单（Whitelist）策略：明确声明需保留的字段名，其余一律跳过。这比“黑名单排除”更安全、更易维护，也符合最小权限原则。

以下是优化后的 sent_mail() 函数实现：

function sent_mail($data = array()) {
    // 定义仅需展示的关键字段白名单（严格匹配键名）
    $whitelist = ['InvoiceID', 'Amount', 'Item_name', 'FirstName', 'LastName', 'Email', 'Website'];

    $out = "";
    foreach ($data as $k => $value) {
        // 跳过不在白名单中的顶层键
        if (!in_array($k, $whitelist)) {
            continue;
        }

        if (is_array($value)) {
            // 若值为数组（如嵌套结构），仍按白名单逻辑处理其子项（可选增强）
            // 此处保持原逻辑：展开显示，但注意——白名单仅作用于顶层键
            foreach ($value as $key => $v) {
                $out .= ucwords(str_replace('_', ' ', $key)) . ' : ' . htmlspecialchars($v, ENT_QUOTES, 'UTF-8') . "
";
            }
        } else {
            // 格式化键名（下划线转空格 + 首字母大写），并转义 HTML 特殊字符防 XSS
            $displayKey = ucwords(str_replace('_', ' ', $k));
            $out .= "$displayKey : " . htmlspecialchars($value, ENT_QUOTES, 'UTF-8') . "
";
        }
    }

    $msg = "
Receipt Of Payment


";
    $msg .= $out;

    $to = '[email protected]';
    $subject = 'New Payment';
    $headers = "MIME-Version: 1.0\r\n";
    $headers .= "Content-Type: text/html; charset=UTF-8\r\n"; // 建议升级为 UTF-8

    // 强烈建议：使用 mail() 前校验 $out 是否非空，避免发送空白邮件
    if (!empty($out)) {
        @mail($to, $subject, $msg, $headers);
    }
}

✅ 关键改进说明：

• 使用 continue 在循环起始处快速跳过非白名单字段，逻辑清晰、性能高效；
• 对输出内容调用 htmlspecialchars() 防止 XSS 攻击（尤其当 Email 或 Website 含用户输入时）；
• 键名格式化支持下划线分隔（如 Item_name → Item Name），提升邮件可读性；
• Content-Type 升级为 UTF-8，兼容中文等多语言字符；
• 增加 !empty($out) 判断，规避空数据误发邮件。

⚠️ 注意事项：

• 白名单数组必须与 $data 中的实际键名完全一致（区分大小写、下划线）；
• 若 $data 存在嵌套结构（例如 'billing' => ['firstName' => ...]），当前逻辑仅过滤顶层键；如需深度过滤，需改写为递归函数；
• 生产环境请弃用 @mail()，改用 PHPMailer 或 SMTP 库以保障送达率与错误反馈。

通过此方案，您将获得简洁、安全、可维护的交易通知邮件，真正实现“所见即所需”。