首页 > 文章 > php教程

Session防未授权访问教程：PHP登录验证全解析

时间：2025-09-11 15:18:01 444浏览收藏

想要保护你的PHP网站，防止未授权用户直接访问敏感页面？本文为你提供一套基于PHP Session的登录验证方案，**详细讲解如何通过设置和检查Session变量，实现有效的用户身份验证和页面访问控制**。本教程包含实用的代码示例，手把手教你如何保护`home.php`等受保护页面，并实现登录、注册、退出登录功能。**有效防止未登录用户通过URL直接访问受保护页面，提升网站安全性。** 学习本教程，掌握PHP Session登录验证技巧，为你的网站安全保驾护航！

防止未授权访问：基于Session的PHP登录验证教程

本文档旨在提供一种基于PHP Session的登录验证方案，以防止用户在未登录的情况下直接通过URL访问受保护的页面。我们将通过设置Session变量，并在需要保护的页面上进行检查，来实现安全的用户身份验证和页面访问控制。本教程包含详细的代码示例，帮助开发者快速理解和应用该方案。

基于Session的登录验证

在Web开发中，确保用户在登录后才能访问某些页面至关重要。一种常见的实现方式是使用PHP的Session功能。以下是如何使用Session来防止未授权用户直接访问受保护页面的方法。

1. 保护 home.php

在你的 home.php 页面顶部，添加以下代码：

<?php
session_start();

if (!isset($_SESSION['user_session'])) {
    header("location: login.php"); // 未登录，重定向到登录页面
    exit(); // 确保脚本停止执行
}
?>

这段代码首先启动Session，然后检查是否存在名为 user_session 的Session变量。如果不存在，说明用户未登录，因此使用 header() 函数将用户重定向到 login.php 页面。exit() 函数确保在重定向后脚本停止执行，防止页面内容被显示。

2. 登录页面 login.php

在 login.php 页面，你需要处理用户登录逻辑，并在成功登录后设置Session变量。以下是一个示例：

<?php
session_start();

if (isset($_SESSION['user_session'])) {
    header("location: home.php"); // 已登录，重定向到主页
    exit();
}

if (isset($_POST['sub'])) {
    // 数据库连接信息 (请替换为你的实际信息)
    define('DB_SERVER', 'localhost');
    define('DB_USERNAME', 'root');
    define('DB_PASSWORD', 'rootpassword');
    define('DB_DATABASE', 'database');

    $db = mysqli_connect(DB_SERVER, DB_USERNAME, DB_PASSWORD, DB_DATABASE);

    // 获取用户名和密码
    $myusername = mysqli_real_escape_string($db, $_POST['username']);
    $mypassword = mysqli_real_escape_string($db, $_POST['password']);

    // 查询数据库
    $sql = "SELECT id FROM admin WHERE username = '$myusername' and passcode = '$mypassword'";
    $result = mysqli_query($db, $sql);
    $row = mysqli_fetch_array($result, MYSQLI_ASSOC);

    $count = mysqli_num_rows($result);

    // 验证用户名和密码
    if ($count == 1) {
        // 登录成功，设置Session
        $_SESSION['user_session'] = $row['id']; // 使用用户ID作为Session值
        header("location: home.php"); // 重定向到主页
        exit();
    } else {
        $error = "Your Login Name or Password is invalid";
    }
}
?>

<!DOCTYPE html>
<html>
<head>
    <title>Login</title>
</head>
<body>
    <form method="post" action="">
        &lt;input type=&quot;text&quot; name=&quot;username&quot; placeholder=&quot;Username&quot;&gt;
        &lt;input type=&quot;password&quot; name=&quot;password&quot; placeholder=&quot;Password&quot;&gt;
        &lt;input type=&quot;submit&quot; name=&quot;sub&quot; value=&quot;Login&quot;&gt;
        <?php if (isset($error)) echo "<p style='color:red;'>$error</p>"; ?>
    </form>
</body>
</html>

这段代码首先检查用户是否已经登录。如果是，则重定向到 home.php。如果用户提交了登录表单，代码会连接到数据库，验证用户名和密码，并在验证成功后设置 $_SESSION['user_session']，然后重定向到 home.php。

注意:

请务必替换示例代码中的数据库连接信息为你的实际信息。
密码在数据库中存储时应进行哈希处理，以提高安全性。

3. 注册页面 (signup.php)

注册页面 signup.php 负责处理用户注册逻辑。成功注册后，也需要设置Session变量：

<?php
session_start();

if (isset($_POST['sub'])) {
    // ... (你的注册逻辑) ...

    // 注册成功后，设置Session
    $_SESSION['user_session'] = $user_id; // 假设 $user_id 是新注册用户的ID
    header("location: home.php"); // 重定向到主页
    exit();
}
?>

4. 退出登录

为了允许用户退出登录，你需要创建一个 logout.php 页面：

<?php
session_start();
session_destroy(); // 销毁所有Session变量
header("location: login.php"); // 重定向到登录页面
exit();
?>

用户访问 logout.php 时，所有Session变量将被销毁，用户将被重定向到登录页面。

5. HTML表单 action 属性

确保你的HTML表单的 action 属性指向正确的PHP文件。例如，在登录表单中，action 应该指向 login.php：

<form method="post" action="login.php">
    <!-- 表单内容 -->
</form>

6. 移除 javascript:void(0)

移除表单中的 action="javascript:void(0)"。这个属性阻止了表单的正常提交，导致PHP代码无法执行。如果你需要使用AJAX进行表单验证或提交，请确保AJAX代码在成功验证后将表单数据发送到PHP处理文件，并由PHP文件处理重定向。

总结

通过以上步骤，你可以实现一个基本的基于Session的登录验证系统。这可以有效地防止未授权用户直接通过URL访问受保护的页面。请记住，安全性是一个持续的过程，需要不断地审查和改进。始终对用户输入进行验证和清理，并采取适当的措施来保护你的应用程序免受各种Web攻击。

今天关于《Session防未授权访问教程：PHP登录验证全解析》的内容就介绍到这里了，是不是学起来一目了然！想要了解更多关于的内容请关注golang学习网公众号！