PHP写入HTML表单邮箱到MySQL时出现500及INSERT语法错误

现有代码的核心问题 #

• HTTP 500错误根因：代码使用的mysql_*系列数据库函数在PHP 5.5版本被标记为废弃，PHP 7.0及以上版本已完全移除该扩展，只要运行环境是PHP7+，调用这些函数会直接触发致命错误，返回500状态码。
• SQL语法错误根因：INSERT语句存在两处书写错误：
  1. 表名Emails-prelaunch包含横杠特殊字符，MySQL会将横杠解析为减法运算符，未用反引号包裹标识符会直接报语法错
  2. VALUES部分字符串引号不匹配，拼接时字符串开头缺失单引号，结尾多余单引号，生成的SQL语法完全非法
• 其他隐藏问题：
  1. 数据库配置项$dbname、$username、$password均为空值，实际运行无法建立数据库连接
  2. 直接将用户POST传入的参数拼接到SQL语句中，存在严重SQL注入风险
  3. 未做邮箱格式校验，非法格式数据可直接入库
  4. 无查询执行结果判断逻辑，无论插入成功失败都会输出提交成功的提示

修复方案 #

1. 彻底废弃mysql_*扩展，使用官方支持的PDO扩展连接数据库，通过预处理语句从根源避免SQL注入问题
2. 修正SQL语法，对包含特殊字符的表名用反引号包裹，不再手动拼接用户输入到SQL语句中
3. 补充邮箱格式校验逻辑，拦截非法输入
4. 补全数据库连接配置，增加异常捕获逻辑，出错时返回明确的错误信息方便排查
5. 增加连接、执行环节的错误判断，避免无效流程

修复后可运行代码 #

// 替换为你实际的数据库配置信息
$host = "localhost";
$dbname = "你的实际数据库名";
$username = "你的数据库登录用户名";
$password = "你的数据库登录密码";

try {
    // 初始化PDO连接，设置字符集为utf8mb4兼容所有字符
    $pdo = new PDO("mysql:host=$host;dbname=$dbname;charset=utf8mb4", $username, $password);
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // 校验输入参数
    if (!isset($_POST['email']) || empty(trim($_POST['email']))) {
        die("请输入邮箱地址");
    }
    $email = trim($_POST['email']);
    if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
        die("请输入符合格式要求的邮箱地址");
    }

    // 预处理执行插入，表名加反引号，参数通过绑定传入，无需手动拼接引号
    $stmt = $pdo->prepare("INSERT INTO `Emails-prelaunch` (Email) VALUES (:email)");
    $stmt->bindParam(':email', $email);
    $stmt->execute();

    echo "<p>Thank you for entering an email!</p>";
} catch (PDOException $e) {
    die("操作失败：" . $e->getMessage());
}

注：若你使用的是早已停止安全维护的PHP5.x版本（极度不推荐，存在大量安全漏洞），临时修复SQL语法可将原查询语句修改为以下内容，但强烈建议升级PHP版本并替换为PDO或mysqli扩展：

$email = mysql_real_escape_string($_POST["email"]);
$query = "INSERT INTO `Emails-prelaunch` (Email) VALUES ('" . $email . "')";

内容的提问来源于stack exchange，提问作者Sergio Holgado