最稳妥、最常用的方式是用 filter_var() 配合 FILTER_VALIDATE_EMAIL，需先 trim() 再校验，并用 !empty() 拦截空值；它符合 RFC 5322、避免正则缺陷与 ReDoS，但不替代真实性验证。
PHP判断邮箱格式，最稳妥、最常用的方式不是写复杂正则，而是用内置函数 filter_var() 配合 FILTER_VALIDATE_EMAIL。它轻量、符合 RFC 5322 基础规范，且随 PHP 版本持续更新，避免手写正则的漏判、误杀和安全风险（如 ReDoS）。
直接用 filter_var 校验格式
这是绝大多数场景的首选方法，代码简洁，语义清晰：
- 先对用户输入做 trim() 去首尾空格，防止 " user@domain.com " 被误判为无效
- 调用
filter_var($email, FILTER_VALIDATE_EMAIL)，返回非 false 即为格式合法 - 注意：该函数不处理空字符串或 null，需单独用
!empty($email)拦截
不要用正则替代 filter_var
虽然网上常见类似 /^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$/ 的正则，但它有明显缺陷：
- 会拒绝合法邮箱，比如含引号的
"john.doe"@example.com或带 + 号别名的user+tag@gmail.com - 可能误判边缘合法格式，如
test@domain.co.uk（二级域名含点）或a@b.cc - 正则难以覆盖国际化域名（IDN），而 filter_var 在配合
idn_to_ascii()后可支持
校验只是第一步，不能代替真实性验证
格式正确 ≠ 邮箱真实存在或属于用户。生产环境必须叠加后续环节：
立即学习“PHP免费学习笔记（深入）”；
- 查数据库确认该邮箱未被注册（注意使用预处理语句防 SQL 注入）
- 发送验证码邮件（推荐 PHPMailer + SMTP），实现双重确认（Double Opt-in）
- 前端可用
<input type="email" required>提升体验，但不可信——后端校验是唯一防线
常见错误写法避坑
实际开发中容易踩的几个坑：
- 写成
if ($_POST['email'] && !filter_var(...))：空值时条件跳过，导致空邮箱通过 - 混淆
FILTER_SANITIZE_EMAIL和校验：它是清理函数，会删字符但不报错，不能代替验证 - 输出错误提示时直接 echo 用户输入的邮箱：存在 XSS 风险，务必用
htmlspecialchars($email)转义
