Отправить письмо с адресом электронной почты, который может быть изменен на стороне клиента, но сообщение не доступно для просмотра на стороне клиента

Question

Я делаю вызов ctf, цель которого - смоделировать уязвимость плохого механизма смены пароля.

Счастливый путь: есть кнопка ввода электронной почты и кнопки отправки, которая действительно должна сначала только обновить sh страницу. Затем пользователь должен будет проверить элемент, изменить место назначения на свою электронную почту, а затем заполнить поля ввода и отправить. Тогда флаг ctf ​​будет отправлен им. Флаг не должен быть виден при проверке.

Извините, я забыл вопрос, это трудно объяснить: так как он у меня есть, я мог бы отправить его через php с помощью mail (), но это не будет видимый пользователю. Как я могу сделать так, чтобы они могли изменить целевую клиентскую сторону, только затем отправили ее, и чтобы флаг ctf ​​не был виден пользователю при проверке.

HTML:

<div id="popupbox"> 
    </br>
    <p style="text-align:center">   |      IMPORTANT     | </p>
         <form action="" method="post"  enctype="text/plain" style="text-align:center">
             E-mail:<br>
             <input type="text" id="email" name="email"><br>
             <a href="mailto:Dragoontesla@gmail.com"><input type="submit" value="Send"></a>
        </form>
    <a href="javascript:login('hide');" style="float: right;">Close</a>

PHP:

<?php

  $email = $_POST["email"];

  if (empty($_POST["email"])) {
    echo "Email is required";
  }

?>