tsv08kulmbach-website/app/actions/contact-submit.php

<?php

declare(strict_types=1);

/**
 * POST /kontakt-senden — Kontaktformular validieren und über All-Inkl-SMTP versenden.
 * Antwort: PRG-Redirect zurück zur absendenden Seite (#kontakt, ?sent=1 | ?error=…),
 *          JSON bei fetch (form.js) oder — bei Feldfehlern ohne JS — die Seite direkt
 *          mit HTTP 422, erhaltenen Eingaben und Feldfehlern (render_form_invalid()).
 * Das Formular kommt von / wie auch von /kontakt und /turnen.
 *
 * Eine Action für alle Varianten: `department` (Hidden-Feld) wählt über
 * contact_variant() Auswahlliste, Feldregeln und Empfänger. Eine zweite Action
 * für die Turnabteilung hätte den kompletten Spam-Schutz verdoppelt — und damit
 * eine zweite Stelle, die man bei jeder Änderung mitziehen müsste.
 */

$field = static fn (string $key): string => trim((string) ($_POST[$key] ?? ''));

// Rücksprungziel gegen die Slug-Whitelist (Single Source of Truth) prüfen — kein Open-Redirect.
$return = $field('return');
$routes = require APP_PATH . '/routes.php';
if (!array_key_exists($return, $routes)) {
    $return = '';
}

$wantsJson = str_contains($_SERVER['HTTP_ACCEPT'] ?? '', 'application/json');

$respond = static function (bool $ok, string $error = '') use ($wantsJson, $return): never {
    if ($wantsJson) {
        header('Content-Type: application/json; charset=utf-8');
        echo json_encode(['ok' => $ok, 'error' => $error ?: null]);
    } else {
        header('Location: ' . url($return) . ($ok ? '?sent=1' : '?error=' . $error) . '#kontakt', true, 303);
    }
    exit;
};

$route = 'kontakt';
$token = $field('ft');

// Ohne vollständige config/config.php liefe die Seite auf der Vorlage (öffentliches
// app_secret, kein SMTP-Passwort) — dann gar nicht erst verarbeiten.
if (!config_ready($route)) {
    $respond(false, 'mail');
}

// --- Spam-Checks: Bots bekommen ein stilles "OK" (kein Feedback-Kanal) ---
if ($field('company_url') !== '') {
    log_spam($route, 'honeypot');
    $respond(true);
}
if (!form_token_valid($token)) {
    log_spam($route, 'token');
    $respond(true);
}

// --- Eingaben ---
$name = $field('name');
$email = $field('email');
$phone = $field('phone');
$interest = $field('interest');
$birthdate = $field('birthdate');
$subject = $field('subject');
$message = $field('message');
$privacy = ($_POST['privacy'] ?? '') === '1';

// Variante bestimmen (unbekannter Wert fällt auf die allgemeine zurück, siehe
// contact_variant()) — dieselbe Quelle, aus der die Komponente ihr Formular baut.
$variant = contact_variant($field('department'));
$interests = $variant['interests'];
if (!$variant['interest_required']) {
    $interests[] = ''; // die allgemeine Variante darf das Feld leer lassen
}
if (!$variant['ask_subject']) {
    $subject = ''; // Feld gibt es dort nicht, ein mitgeschicktes ignorieren
}
if (!$variant['ask_birthdate']) {
    $birthdate = ''; // dito — nur die Turn-Variante fragt danach
}

// --- Validierung (Whitelist-Prinzip, Fehler pro Feld) ---
$errors = [];
if ($name === '' || mb_strlen($name) > 200 || preg_match('/[\r\n]/', $name)) {
    $errors['contact-name'] = 'Bitte gib deinen Namen an (max. 200 Zeichen).';
}
if (filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
    $errors['contact-email'] = 'Bitte gib eine gültige E-Mail-Adresse an.';
}
if (mb_strlen($phone) > 50) {
    $errors['contact-phone'] = 'Die Telefonnummer ist zu lang (max. 50 Zeichen).';
}
// Geburtsdatum: optional, aber wenn angegeben, dann ein echtes Datum in einem
// plausiblen Bereich. type=date liefert YYYY-MM-DD; createFromFormat mit
// anschließendem Vergleich weist auch Scheindaten wie 2019-02-31 ab (PHP würde
// die sonst stillschweigend auf den 3. März verschieben).
if ($birthdate !== '') {
    $d = DateTimeImmutable::createFromFormat('!Y-m-d', $birthdate);
    $heute = new DateTimeImmutable('today');
    if ($d === false || $d->format('Y-m-d') !== $birthdate) {
        $errors['contact-birthdate'] = 'Bitte gib das Geburtsdatum im Format TT.MM.JJJJ an.';
    } elseif ($d > $heute) {
        $errors['contact-birthdate'] = 'Das Geburtsdatum kann nicht in der Zukunft liegen.';
    } elseif ($d < new DateTimeImmutable('1900-01-01')) {
        $errors['contact-birthdate'] = 'Bitte prüfe das Geburtsdatum.';
    }
}
if (!in_array($interest, $interests, true)) {
    $errors['contact-interest'] = $variant['interest_required']
        ? 'Bitte wähle aus, für welche Gruppe du dich interessierst.'
        : 'Bitte wähle einen der angebotenen Bereiche.';
}
if ($variant['ask_subject'] && ($subject === '' || mb_strlen($subject) > 200 || preg_match('/[\r\n]/', $subject))) {
    $errors['contact-subject'] = 'Bitte gib einen Betreff an (max. 200 Zeichen, einzeilig).';
}
if (($variant['message_required'] && $message === '') || mb_strlen($message) > 5000) {
    $errors['contact-message'] = 'Bitte schreib uns eine Nachricht (max. 5000 Zeichen).';
}
if (!$privacy) {
    $errors['contact-privacy'] = 'Ohne Zustimmung zum Datenschutz können wir die Anfrage nicht entgegennehmen.';
}

if ($errors !== []) {
    if ($wantsJson) {
        header('Content-Type: application/json; charset=utf-8');
        echo json_encode(['ok' => false, 'error' => 'validation', 'fields' => $errors]);
        exit;
    }
    // Ohne JS: Seite mit Eingaben und Feldfehlern neu rendern statt PRG (Werte bleiben erhalten).
    render_form_invalid($return, [
        'name' => $name, 'email' => $email, 'phone' => $phone, 'interest' => $interest,
        'birthdate' => $birthdate, 'subject' => $subject, 'message' => $message,
        'privacy' => $privacy ? '1' : '',
    ], $errors);
}

// --- Inhalts-Heuristik (still abweisen, Bot-typisch) ---
if (preg_match_all('~https?://~i', $subject . ' ' . $message) > 2) {
    log_spam($route, 'links');
    $respond(true);
}

// --- Volumen-Grenzen: erst ab hier, damit Tippfehler kein Kontingent verbrauchen.
// Sie antworten ehrlich — stilles "Danke" ohne Versand verschluckt echte Anfragen. ---
if (!rate_limit_ok('submit|' . $route . '|' . client_ip(), 5, 600)) {
    log_spam($route, 'ratelimit');
    $respond(false, 'ratelimit');
}
// Token-Mehrfachnutzung begrenzen (Replay-Schutz). IP im Schlüssel, weil form_token()
// sekundengenau ist: sonst teilen sich alle Besucher derselben Sekunde ein Kontingent.
if (!rate_limit_ok('token|' . $token . '|' . client_ip(), 3, 86400)) {
    log_spam($route, 'replay');
    $respond(false, 'ratelimit');
}
// Globaler Tages-Cap über alle Formulare: schützt Postfach und Absender-Reputation.
if (!rate_limit_ok('daily', 200, 86400)) {
    log_spam($route, 'daily-cap');
    $respond(false, 'busy');
}

// --- Versand ---
// Ohne Betreff-Feld trägt die Auswahl den Mail-Betreff.
$mailSubject = $variant['subject_prefix'] . ': ' . ($subject !== '' ? $subject : $interest);

$body = $variant['context'] . " über tsv08kulmbach.de\n"
    . str_repeat('-', 40) . "\n"
    . "Name:      {$name}\n"
    . "E-Mail:    {$email}\n"
    . ($phone !== '' ? "Telefon:   {$phone}\n" : '')
    . ($interest !== '' ? "Interesse: {$interest}\n" : '')
    . ($birthdate !== '' ? 'Geburtstag des Kindes: ' . german_date($birthdate) . "\n" : '')
    . ($subject !== '' ? "Betreff:   {$subject}\n" : '')
    . str_repeat('-', 40) . "\n\n"
    . ($message !== '' ? $message . "\n\n" : "(keine Nachricht angegeben)\n\n")
    . str_repeat('-', 40) . "\n"
    . 'Datenschutz zugestimmt: ja (' . date('d.m.Y H:i') . ")\n";

$sent = send_mail([
    'context'  => $variant['context'],
    'subject'  => $mailSubject,
    'body'     => $body,
    'reply_to' => ['email' => $email, 'name' => $name],
    // Leer heißt: Standardempfänger aus config('smtp.to') (send_mail()).
    'to'       => $variant['to'] !== '' ? $variant['to'] : null,
]);

$respond($sent, $sent ? '' : 'mail');