PDO执行SQL报错SQLSTATE[42000]，请求排查语法错误原因

嘿，我帮你找到问题根源啦！你直接把邮箱字符串拼接到SQL语句里，既没给字符串加引号，也没用到PDO的参数绑定机制——这不仅触发了MySQL的语法错误，还埋下了SQL注入的安全隐患。

错误原因详解 #

举个例子：如果用户提交的邮箱是test@gmail.com，你当前代码生成的SELECT语句会是这样：

SELECT `email` FROM `emails` WHERE `email` = test@gmail.com

MySQL会把test误认为是列名，后面的@gmail.com完全不符合SQL语法，这就是错误提示里near '@gmail.com'的由来。

修复方案（附优化后的代码） #

PDO的参数绑定能同时解决语法错误和安全问题，而且我们还能删掉多余的SELECT查询（不需要先查再删，DELETE语句会自动忽略不存在的记录）：

function sanitazeEmail($email){
    if(empty($email)){
        return "";
    }
    $sanitized = filter_var($email, FILTER_SANITIZE_EMAIL);
    if(filter_var($sanitized, FILTER_VALIDATE_EMAIL)){
        return $sanitized;
    }
    return "";
}

$success = false;
$email = sanitazeEmail($_POST['email']);

if(!empty($email)){
    require_once 'conectar.php';
    
    // 使用参数占位符替代直接拼接变量
    $sql_delete = "DELETE FROM `emails` WHERE `email` = :email";
    $statement = $db->prepare($sql_delete);
    
    // 绑定参数并执行语句
    $success = $statement->execute([
        ':email' => $email
    ]);

    // 可选：判断是否真的删除了记录
    $deletedCount = $statement->rowCount();
    if($deletedCount > 0){
        // 确实删除了一条邮箱记录
    }
}

额外小贴士 #

• 永远用参数绑定处理用户输入，别直接把用户数据拼进SQL语句，这是Web开发的安全底线。
• 用rowCount()可以直观判断DELETE操作是否真的影响了数据库行，方便后续给用户返回更精准的提示。

内容的提问来源于stack exchange，提问作者Luiscri