防止未授权访问：基于Session的PHP登录验证教程-php教程-PHP中文网

防止未授权访问：基于Session的PHP登录验证教程

碧海醫心

发布： 2025-08-12 20:42:01

原创

395人浏览过

防止未授权访问：基于session的php登录验证教程

本文档旨在提供一种基于PHP Session的登录验证方案，以防止用户在未登录的情况下直接通过URL访问受保护的页面。我们将通过设置Session变量，并在需要保护的页面上进行检查，来实现安全的用户身份验证和页面访问控制。本教程包含详细的代码示例，帮助开发者快速理解和应用该方案。

基于Session的登录验证

在Web开发中，确保用户在登录后才能访问某些页面至关重要。一种常见的实现方式是使用PHP的Session功能。以下是如何使用Session来防止未授权用户直接访问受保护页面的方法。

1. 保护 home.php

在你的 home.php 页面顶部，添加以下代码：

<?php
session_start();

if (!isset($_SESSION['user_session'])) {
    header("location: login.php"); // 未登录，重定向到登录页面
    exit(); // 确保脚本停止执行
}
?>

登录后复制

这段代码首先启动Session，然后检查是否存在名为 user_session 的Session变量。如果不存在，说明用户未登录，因此使用 header() 函数将用户重定向到 login.php 页面。exit() 函数确保在重定向后脚本停止执行，防止页面内容被显示。

立即学习“PHP免费学习笔记（深入）”；

2. 登录页面 login.php

在 login.php 页面，你需要处理用户登录逻辑，并在成功登录后设置Session变量。以下是一个示例：

<?php
session_start();

if (isset($_SESSION['user_session'])) {
    header("location: home.php"); // 已登录，重定向到主页
    exit();
}

if (isset($_POST['sub'])) {
    // 数据库连接信息 (请替换为你的实际信息)
    define('DB_SERVER', 'localhost');
    define('DB_USERNAME', 'root');
    define('DB_PASSWORD', 'rootpassword');
    define('DB_DATABASE', 'database');

    $db = mysqli_connect(DB_SERVER, DB_USERNAME, DB_PASSWORD, DB_DATABASE);

    // 获取用户名和密码
    $myusername = mysqli_real_escape_string($db, $_POST['username']);
    $mypassword = mysqli_real_escape_string($db, $_POST['password']);

    // 查询数据库
    $sql = "SELECT id FROM admin WHERE username = '$myusername' and passcode = '$mypassword'";
    $result = mysqli_query($db, $sql);
    $row = mysqli_fetch_array($result, MYSQLI_ASSOC);

    $count = mysqli_num_rows($result);

    // 验证用户名和密码
    if ($count == 1) {
        // 登录成功，设置Session
        $_SESSION['user_session'] = $row['id']; // 使用用户ID作为Session值
        header("location: home.php"); // 重定向到主页
        exit();
    } else {
        $error = "Your Login Name or Password is invalid";
    }
}
?>

<!DOCTYPE html>
<html>
<head>
    <title>Login</title>
</head>
<body>
    <form method="post" action="">
        <input type="text" name="username" placeholder="Username">
        <input type="password" name="password" placeholder="Password">
        <input type="submit" name="sub" value="Login">
        <?php if (isset($error)) echo "<p style='color:red;'>$error</p>"; ?>
    </form>
</body>
</html>

登录后复制

这段代码首先检查用户是否已经登录。如果是，则重定向到 home.php。如果用户提交了登录表单，代码会连接到数据库，验证用户名和密码，并在验证成功后设置 $_SESSION['user_session']，然后重定向到 home.php。

注意:

Google Antigravity

谷歌推出的AI原生IDE，AI智能体协作开发

277

查看详情

请务必替换示例代码中的数据库连接信息为你的实际信息。
密码在数据库中存储时应进行哈希处理，以提高安全性。

3. 注册页面 (signup.php)

注册页面 signup.php 负责处理用户注册逻辑。成功注册后，也需要设置Session变量：

<?php
session_start();

if (isset($_POST['sub'])) {
    // ... (你的注册逻辑) ...

    // 注册成功后，设置Session
    $_SESSION['user_session'] = $user_id; // 假设 $user_id 是新注册用户的ID
    header("location: home.php"); // 重定向到主页
    exit();
}
?>

登录后复制

4. 退出登录

为了允许用户退出登录，你需要创建一个 logout.php 页面：

<?php
session_start();
session_destroy(); // 销毁所有Session变量
header("location: login.php"); // 重定向到登录页面
exit();
?>

登录后复制

用户访问 logout.php 时，所有Session变量将被销毁，用户将被重定向到登录页面。

5. HTML表单 action 属性

确保你的HTML表单的 action 属性指向正确的PHP文件。例如，在登录表单中，action 应该指向 login.php：

<form method="post" action="login.php">
    <!-- 表单内容 -->
</form>

登录后复制

6. 移除 javascript:void(0)

移除表单中的 action="javascript:void(0)"。这个属性阻止了表单的正常提交，导致PHP代码无法执行。如果你需要使用AJAX进行表单验证或提交，请确保AJAX代码在成功验证后将表单数据发送到PHP处理文件，并由PHP文件处理重定向。

总结

通过以上步骤，你可以实现一个基本的基于Session的登录验证系统。这可以有效地防止未授权用户直接通过URL访问受保护的页面。请记住，安全性是一个持续的过程，需要不断地审查和改进。始终对用户输入进行验证和清理，并采取适当的措施来保护你的应用程序免受各种Web攻击。

以上就是防止未授权访问：基于Session的PHP登录验证教程的详细内容，更多请关注php中文网其它相关文章！

大家都在看：

php怎么把mysql数据转成数组_php mysql数据转数组查询与解析技巧 php源码打开怎么运行_php源码打开运行环境与执行法【技巧】有源码怎么搭建php_用源码搭建PHP环境建站教程【指南】 php怎么做网页_使用php制作动态网页步骤【网页】有php网站源码怎么上传_有php网站源码上传服务器法【教程】