yohgaki's blog

正しいメールアドレスのチェック方法がちょっとした話題になっているようです。Web屋のネタ帳でも取り上げられていますが、メールアドレスのチェック方法自体は解説していません。ついでなので書いておきます。

「本当に正しいメールアドレスかチェック」するには実際にメールを送信して、送信されたユーザしか知り得ない情報をユーザが知っている事により確認しなければなりません。これはWeb屋のネタ帳で解説されている通りです。

Follow up:

きちんと正規表現でメールアドレスをチェックするのは面倒です。しかも、RFCを守らない大手企業もあり、正規表現でチェックするのは諦めるのが妥当でしょう。

記入されたメールアドレスが正しいかチェックする手順

1. @でスプリットする
2. 配列要素が2つかチェック。NGはエラー
3. 1つ目の要素（ユーザ名部分）および2つ目の要素（ドメイン部分）に空白や制御文字、非ASCII文字が含まれていないかチェック。NGはエラー
4. 2つ目の要素（ドメイン部分）がDNSのMXレコードを持つかチェック。NGはエラー

これらのチェックに通過したメールアドレスはOKとしています。
これならおかしなアドレスを使っている某社の事等も考えずに済みます。MXレコードを持つサーバに限定すると、DNS設定を正しく行っていないメールサーバは受け入れなくなります。必要ならDNSが引けるかどうかだけのチェックにしておいても構いません。

備考：RFC的にはAレコードがあればメール送受信に支障は無いです。管理者の設定ミス／経験不足などでMXレコードが無いケースも考えられます。ダイナミックDNSを利用したメールサーバもあります。しかし、普通のメールアドレスのドメイン部分はMXレコードを持っています。ダイナミックDNSでメールサーバ運用する事はお勧めできる運用形態ではありませんが、MXレコード無し運用されているサーバがあるのも事実です。こういったサーバのメールアドレスも許可したい場合はMXでなくA/CNAMEレコードが引けるかチェックします。ただし、「ダイナミックIPのメールサーバを許可する=クライアントに自前メールサーバを許可する」事になります。これでは「正しいメールアドレスか確認する」目的が達成できない点に注意してください。（だれでも認証の時だけ使えるアドレスを用意できる）

PHPのmail, mb_send_mail関数は関数レベルでメールヘッダインジェクション対策が施されているので、CR,LFが混じっていてもインジェクション攻撃に脆弱になりません。しかし、他の環境ではメールヘッダインジェクションが可能になる場合があります。最低限、CR、LFだけはチェックし、含まれる場合はセキュリティ上のエラーとして処理（攻撃が行われたとアラートを発生させる等）しなければなりません。

後はメールを送信して認証するだけです。

1. 認証URLを含むメールを送信
2. 認証URLがリクエストされる
3. 認証用の鍵が一致するかチェック。不一致はNG

ところで、メールアドレス認証等に使う鍵は十分なエントロピーを持ったデータのハッシュ値（SHA1など）を利用するようにします。UNIXなら/dev/urandomが良いと思いますが、urandomでなくてもPHPのuniqid関数の出力等でも十分なエントロピーを持っている考えて大丈夫です。

$token = sha1('SOME_RANDOM_PREFIX' . uniqid(rand(), true));

最後に、迷惑メール防止のため一定時間は同じメールアドレスに対して認証用のメールを繰り返し送信しないような仕様にする事を忘れない様にします。