email injection

[mem]

perchè non controlli semplicemente la validità dell'email inserita? non mi sembra che in una email saranno mai contenute stringhe del genere "http://", "?", "="

Fai un check del tipo

$pattern = "^([a-zA-Z0-9\._-]{3,})(@{1}[a-zA-Z0-9\._-]{3,})(\.{1}[a-zA-Z]{2,4})$";
if (eregi($pattern,$email)) {
    //invia email
} else {
    //email non valida
}