本文详细讲解如何在 PHP 中安全查询 MySQL 数据库获取用户邮箱，并调用 mail() 函数发送邮件，涵盖数据库连接、SQL 查询、结果提取、邮件发送及关键安全注意事项。
本文详细讲解如何在 php 中安全查询 mysql 数据库获取用户邮箱，并调用 mail() 函数发送邮件，涵盖数据库连接、sql 查询、结果提取、邮件发送及关键安全注意事项。
在实际 Web 开发中，根据用户 ID 动态获取邮箱并发送通知邮件（如注册确认、订单提醒）是常见需求。但直接将 SQL 查询语句赋值给 $to 变量（如原代码中的 $to = "SELECT email_address FROM ..."）并不会执行查询，仅是字符串赋值——这是初学者常犯的关键错误。
正确做法是：先执行查询，再从结果集中提取邮箱值。以下是优化后的完整流程：
win可用的mysql指令skill
下载
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
✅ 正确实现步骤
- 建立安全的数据库连接（推荐使用预处理语句防注入）
- 执行 SELECT 查询获取邮箱
- 验证查询结果是否存在且非空
- 调用
mail()发送邮件
// 数据库配置（请替换为实际值）
$servername = "localhost";
$username = "your_db_user";
$sqlpassword = "your_db_pass";
$database = "your_db_name";
// 创建连接（使用面向对象方式）
$DBConnect = new mysqli($servername, $username, $sqlpassword, $database);
// 检查连接是否成功
if ($DBConnect->connect_error) {
die("数据库连接失败：" . $DBConnect->connect_error);
}
// ✅ 使用预处理语句防止 SQL 注入（强烈推荐）
$stmt = $DBConnect->prepare("SELECT email_address FROM customer WHERE customer_number = ?");
$stmt->bind_param("i", $customerNum); // 假设 customer_number 是整数类型
$stmt->execute();
$result = $stmt->get_result();
$to = null;
if ($result->num_rows > 0) {
$row = $result->fetch_assoc();
$to = filter_var($row["email_address"], FILTER_SANITIZE_EMAIL); // 过滤非法字符
if (!filter_var($to, FILTER_VALIDATE_EMAIL)) {
die("无效的邮箱格式：" . htmlspecialchars($to));
}
} else {
die("未找到 ID 为 $customerNum 的用户");
}
// 邮件内容
$subject = "Hello";
$message = "Thank you!";
$headers = "From: webmaster@example.com\r\n" .
"Reply-To: webmaster@example.com\r\n" .
"X-Mailer: PHP/" . phpversion() .
"MIME-Version: 1.0\r\n" .
"Content-Type: text/plain; charset=UTF-8";
// 发送邮件
if (mail($to, $subject, $message, $headers)) {
echo "邮件已成功发送至：". htmlspecialchars($to);
} else {
echo "邮件发送失败，请检查服务器 mail 配置或错误日志。";
}
$stmt->close();
$DBConnect->close();⚠️ 重要注意事项
-
永远不要拼接用户输入到 SQL 中：原问题中
$customerNum若来自 GET/POST，直接拼接会导致严重 SQL 注入漏洞。务必使用prepare()+bind_param()。 -
验证邮箱格式：使用
filter_var($email, FILTER_VALIDATE_EMAIL)确保邮箱合法，避免mail()调用失败或被拒收。 -
mail()函数限制多：它依赖本地 sendmail 或 SMTP 配置，生产环境建议改用 PHPMailer 或 Symfony Mailer 支持 SMTP 认证、HTML 邮件、附件等高级功能。 -
注意换行符：
$headers中必须使用\r\n（CRLF），Linux 系统下仅用\n可能导致头部解析异常。 -
字符编码：显式声明
Content-Type: text/plain; charset=UTF-8避免中文乱码。
掌握这一模式后，你可轻松扩展为群发（循环多个 $row）、模板化邮件（使用 str_replace() 或 Twig）、或集成队列系统提升可靠性。安全、健壮、可维护，才是专业邮件发送的起点。
