前言

用 PHP 发邮件，大概率会经历这三个阶段：先写一行mail()觉得真简单；然后发现邮件根本没发出去，或者安静地躺在收件人的垃圾箱里；最后翻遍资料，才知道要用 SMTP（Simple Mail Transfer Protocol）连第三方邮件服务。

mail()失败的原因其实很朴素：它把邮件交给本机的邮件传输代理（MTA，例如 sendmail、postfix）。而绝大多数 PHP 运行环境（容器、云主机、共享空间）里根本没有装 MTA，也没有配置，函数返回false或者干脆被disable_functions禁掉。就算本机有 MTA，从家用宽带或云主机动态 IP 直发外网 25 端口，也基本会被对方拒收。

所以正确的做法是：让 PHP 通过 SMTP 登录到专业的邮件服务商，由它代发。本文用目前 PHP 生态里最常用的PHPMailer演示从安装、配置、发送 HTML 邮件与附件，到排查「发出去了却进垃圾箱」的完整流程。示例基于PHP 8.5，PHPMailer6.x 在 PHP 8.5 上可直接使用。

一、先选路：mail()、SMTP 客户端库怎么选

推荐PHPMailer：成熟、文档全、纯 PHP 实现不需要任何扩展编译，PHP 8.5 发布后只需composer update。

composer require phpmailer/phpmailer

二、SMTP 的三个关键参数

连接任何 SMTP 服务，要弄清楚的就三件事：主机、端口、加密方式。端口与加密方式是绑定的，配错了典型的症状是「卡住不返回，最后超时」：

常见误配：端口填 465 却设成STARTTLS，客户端会一直等对方发明文握手问候，而对方在等 TLS 握手，双方互等直到超时。这是「SMTP connect() failed」里最隐蔽的一类。

<?php declare(strict_types=1); use PHPMailer\PHPMailer\PHPMailer; use PHPMailer\PHPMailer\SMTP; use PHPMailer\PHPMailer\Exception; function makeMailer(string $host, int $port, string $user, string $pass): PHPMailer { $mail = new PHPMailer(true); // true = 出错时抛异常 $mail->isSMTP(); $mail->Host = $host; $mail->Port = $port; $mail->SMTPAuth = true; $mail->Username = $user; // 通常是完整邮箱地址 $mail->Password = $pass; // 多数服务商要求「授权码」而不是登录密码 // 端口决定加密方式，两者必须配对 $mail->SMTPSecure = $port === 465 ? PHPMailer::ENCRYPTION_SMTPS : PHPMailer::ENCRYPTION_STARTTLS; $mail->CharSet = 'UTF-8'; // 中文主题与正文必须显式设置 $mail->Timeout = 10; // 单次连接超时（秒），避免请求被拖死 $mail->XMailer = ' '; // 不暴露客户端版本信息 return $mail; }

三个细节值得展开：

• 
  
• CharSet = 'UTF-8'：不设置时 PHPMailer 默认使用iso-8859-1，中文主题会变成乱码。用mail()手拼 header 时这个问题更常见，因为编码方式要自己写。
• 
  
• Password通常是授权码：QQ 邮箱、163、企业邮箱等服务商都要求先在后台开启 SMTP 并生成独立的授权码，直接用登录密码会认证失败。
• 
  
• SMTPSecure与Port必须配对，见上方表格。
• 
  
  

三、发一封完整的邮件：HTML 正文 + 附件 + 抄送

<?php declare(strict_types=1); use PHPMailer\PHPMailer\PHPMailer; use PHPMailer\PHPMailer\Exception; function sendOrderNotice(array $order): bool { $mail = makeMailer( 'smtp.example.com', 587, 'noreply@example.com', getenv('MAIL_AUTH_CODE') ?: '' ); try { // 发件人必须与 SMTP 账号属于同一域名，否则 SPF/DKIM 对不上，容易被判为垃圾邮件 $mail->setFrom('noreply@example.com', '示例商城'); $mail->addAddress($order['email'], $order['name']); $mail->addReplyTo('support@example.com', '客服'); // 这里用纯文本正文演示，HTML 正文的写法见本节末尾说明 $mail->isHTML(false); $mail->Subject = '订单 ' . $order['id'] . ' 已发货'; $mail->Body = implode("\n", [ '您好，' . $order['name'], '您的订单 ' . $order['id'] . ' 已发货，金额 ' . number_format((float) $order['amount'], 2) . ' 元。', '如有疑问请直接回复本邮件。', ]); // 附件用「文件路径 + 显示名」，不要用「文件内容 + 名字」的重载 $invoice = __DIR__ . '/invoices/' . $order['id'] . '.pdf'; if (is_readable($invoice)) { $mail->addAttachment($invoice, 'invoice-' . $order['id'] . '.pdf'); } $mail->send(); return true; } catch (Exception $e) { // ErrorInfo 是字符串，比异常消息更贴近底层原因 error_log('邮件发送失败：' . $mail->ErrorInfo); return false; } }

如果正文要带样式、按钮或表格，把isHTML(true)打开并给Body赋 HTML 片段，同时必须填写AltBody（同样内容的纯文本版）。这里有两个硬性要求：

1. 
   
2. 所有插值必须转义。用htmlspecialchars($value, ENT_QUOTES, 'UTF-8')包住每一个用户数据；用户昵称里带一个尖括号，就能把整封邮件的版式打乱，甚至被邮件网关判定为钓鱼内容。
3. 
   
4. AltBody不能省。只有 HTML 正文的邮件在部分客户端显示不全，反垃圾系统的评分也会更差。
5. 
   
   

四、排查：让 PHPMailer 把协议对话打出来

发送不成功时，最快的手段是打开调试输出。SMTPDebug会打印完整的 SMTP 对话过程（EHLO、AUTH、MAIL FROM、DATA……），一眼就能看出是卡在哪一步：

<?php declare(strict_types=1); use PHPMailer\PHPMailer\PHPMailer; use PHPMailer\PHPMailer\SMTP; $mail = makeMailer('smtp.example.com', 587, 'noreply@example.com', 'auth-code'); // 2 = 客户端与服务端的往返对话；3 = 再加上连接细节 $mail->SMTPDebug = SMTP::DEBUG_SERVER; // 调试输出默认直接 echo 到响应体里，正式代码中务必重定向到日志 $mail->Debugoutput = static function (string $str, int $level): void { error_log('[SMTP] ' . trim($str)); };

读日志的对照表：

五、进垃圾箱怎么办：三份 DNS 记录

如果send()返回true，但收件人始终在垃圾箱里找到邮件，那问题不在 PHP，而在你域名的邮件认证记录。这三份 TXT 记录必须配：

1. 
   
2. SPF：声明「哪些主机有权以你的域名发信」，例如在域名下添加一条 TXT，内容形如v=spf1 include:你的服务商给出的地址 -all。
3. 
   
4. DKIM：给邮件加上可验证的数字签名，记录名是选择器._domainkey.你的域名。PHPMailer支持自行签名，需要设置DKIM_domain、DKIM_selector、DKIM_private这几个属性后调用setDKIM()；具体属性名与用法以PHPMailer官方文档为准，另一个省事的做法是直接让邮件服务商代签。
5. 
   
6. DMARC：告诉收件方「认证失败时怎么办」，记录名是_dmarc.你的域名，内容形如v=DMARC1; p=none; rua=mailto:dmarc@你的域名。建议先以p=none上线观察报告，确认无误后再收紧策略。
7. 
   
   

常见坑点

1. 只设了端口，没设加密方式（或设反了）

❌$mail->Port = 465;而SMTPSecure保持默认的STARTTLS—— 连接一直挂着直到超时，报SMTP connect() failed。 ✅ 端口与加密方式配对设置；不确定就先试 587 +STARTTLS。

2.openssl扩展没开

❌ 配置全对仍然连不上，日志里出现与 TLS 相关的报错。 ✅ 确认openssl扩展已启用（用php -m检查），没有它就无法建立加密连接。

3. 用mail()拼中文主题

❌ 自己写$subject = '订单通知'; mail($to, $subject, $body, 'From: a@b.com');—— 中文主题按 8 位字节原样塞进 header，各客户端解码方式不一，结果就是乱码。 ✅ 使用PHPMailer并设置CharSet = 'UTF-8'；如果确实要用mail()，主题必须做 MIME 编码后再写入。

4. 在循环里逐封新建 PHPMailer，反复建连

❌ 一次发 500 封营销邮件，每封都new PHPMailer(true)并重新SMTP认证，耗时极长还容易被服务商限流。 ✅ 复用同一个实例，配合SMTPKeepAlive = true，在循环里只clearAllRecipients()；或者干脆用服务商提供的批量接口。

5. 发件人地址与 SMTP 账号不同域

❌ 用noreply@gmail.com作为setFrom，却通过自己域名的 SMTP 服务发信 —— SPF 与 DKIM 对不上，几乎必进垃圾箱。 ✅ 发件域名与发信域名保持一致，并且该域名已配好 SPF/DKIM。

6. 用户输入直接拼进 HTML 正文

❌$mail->Body = $htmlTemplate . $_POST['name'];—— 用户提交的昵称里只要带一个尖括号，邮件结构就被破坏，甚至被反垃圾系统判定为钓鱼。 ✅ 所有插值用htmlspecialchars($v, ENT_QUOTES, 'UTF-8')转义后再拼接。

7. 生产环境打开SMTPDebug且不做重定向

❌$mail->SMTPDebug = 2;直接上线 —— 调试信息默认echo到响应体，页面会出现一堆协议文本，还可能泄漏主机名与账号信息。 ✅ 只在排查时打开，并用Debugoutput把输出重定向到日志。

8. 授权码硬编码在代码里

❌$mail->Password = 'abcd1234';提交进 Git 仓库。 ✅ 走环境变量或配置中心读取，并保证配置文件不进版本库。

总结

配置 SMTP 的难点不在代码，而在「端口与加密配对、发件域名与账号同源、域名认证记录齐全」这三件事。把这三件事做对，剩下的就只剩内容本身的合规性了——而任何技术手段都救不了一封内容被人举报的邮件。