防止未授权访问：PHP会话管理与重定向实现-php教程-PHP中文网

防止未授权访问：PHP会话管理与重定向实现

碧海醫心

发布： 2025-08-12 21:02:14

原创

748人浏览过

防止未授权访问：php会话管理与重定向实现

在Web应用程序开发中，安全性至关重要。其中一个常见的安全问题是防止未经授权的用户访问受保护的页面。例如，用户可能会尝试通过直接在浏览器地址栏中输入URL来绕过登录页面，从而访问本应只有登录用户才能访问的页面。本文将介绍如何使用PHP会话管理和重定向来解决这个问题。

会话管理基础

PHP会话允许我们在用户的不同页面请求之间存储和访问数据。会话数据存储在服务器上，并与每个用户关联一个唯一的会话ID。我们可以使用会话来跟踪用户的登录状态，并根据该状态控制对特定页面的访问。

实现步骤

我们将通过以下步骤来实现安全访问控制：

启动会话： 在每个需要访问或修改会话数据的页面顶部，使用session_start()函数启动会话。
登录验证： 在登录页面，验证用户的凭据（例如用户名和密码）。如果验证成功，则设置一个会话变量来指示用户已登录。
访问控制： 在受保护的页面，检查会话变量是否存在。如果会话变量不存在，则将用户重定向到登录页面。
注销： 当用户注销时，销毁会话变量，以便下次访问受保护的页面时需要重新登录。

代码示例

以下代码示例展示了如何在登录页面（login.php）和主页（home.php）中实现上述步骤。

立即学习“PHP免费学习笔记（深入）”；

Browse AI

AI驱动的网页内容抓取和数据采集工具

查看详情

login.php:

<?php
session_start();

// 如果用户已经登录，则重定向到主页
if (isset($_SESSION['user_session'])) {
    header("location: home.php");
    exit(); // 确保脚本停止执行
}

// 处理登录表单提交
if (isset($_POST['submit'])) {
    // 包含数据库连接配置
    define('DB_SERVER', 'localhost');
    define('DB_USERNAME', 'root');
    define('DB_PASSWORD', 'rootpassword');
    define('DB_DATABASE', 'database');

    // 创建数据库连接
    $db = mysqli_connect(DB_SERVER, DB_USERNAME, DB_PASSWORD, DB_DATABASE);

    // 获取并安全地转义用户输入
    $username = mysqli_real_escape_string($db, $_POST['username']);
    $password = mysqli_real_escape_string($db, $_POST['password']);

    // 构建SQL查询
    $sql = "SELECT id FROM admin WHERE username = '$username' and passcode = '$password'";
    $result = mysqli_query($db, $sql);
    $row = mysqli_fetch_array($result, MYSQLI_ASSOC);

    // 检查查询结果
    $count = mysqli_num_rows($result);

    // 如果用户名和密码匹配，则设置会话变量并重定向到主页
    if ($count == 1) {
        $_SESSION['user_session'] = $row['id']; // 使用用户ID作为会话变量
        header("location: home.php");
        exit(); // 确保脚本停止执行
    } else {
        $error = "用户名或密码无效";
    }

    // 关闭数据库连接
    mysqli_close($db);
}
?>

<!DOCTYPE html>
<html>
<head>
    <title>Login</title>
</head>
<body>
    <h2>Login</h2>
    <?php if (isset($error)): ?>
        <p style="color: red;"><?php echo $error; ?></p>
    <?php endif; ?>
    <form method="post">
        <label for="username">Username:</label>
        <input type="text" id="username" name="username"><br><br>
        <label for="password">Password:</label>
        <input type="password" id="password" name="password"><br><br>
        <input type="submit" name="submit" value="Login">
    </form>
</body>
</html>

登录后复制

home.php:

<?php
session_start();

// 如果用户未登录，则重定向到登录页面
if (!isset($_SESSION['user_session'])) {
    header("location: login.php");
    exit(); // 确保脚本停止执行
}

// 注销处理
if (isset($_GET['logout'])) {
    session_destroy();
    unset($_SESSION['user_session']);
    header("Location: login.php");
    exit();
}

?>

<!DOCTYPE html>
<html>
<head>
    <title>Home</title>
</head>
<body>
    <h2>Welcome!</h2>
    <p>This is the home page.</p>
    <a href="home.php?logout">Logout</a>
</body>
</html>

登录后复制

注意事项：