PHP登录尝试次数限制功能报错：Undefined array key 'login_attempts' 的解决方法

你遇到的这个警告很常见，原因是$_SESSION["login_attempts"]在用户首次访问页面、还没有任何登录失败尝试的时候，根本没有被创建出来——PHP尝试访问一个不存在的会话数组键，就会抛出这个警告。

具体修复步骤： #

1. 初始化会话变量
   在session_start();之后，立即添加一段代码来确保login_attempts始终有一个初始值：

   session_start();
   // 初始化登录尝试次数，不存在则设为0
   if (!isset($_SESSION["login_attempts"])) {
       $_SESSION["login_attempts"] = 0;
   }
   

   这样不管用户是第一次打开页面，还是后续访问，这个变量都不会是未定义的状态。

2. 调整失败计数的逻辑
   你原来的代码里$_SESSION["login_attempts"] += 1;现在可以安全执行了，因为变量已经被初始化，不会再触发警告。

3. 优化锁定检查的严谨性
   虽然初始化后直接判断$_SESSION["login_attempts"] > 2没问题，但如果想更严谨，也可以加上isset检查（不过初始化后其实不需要，只是多一层保障）：

   if (isset($_SESSION["login_attempts"]) && $_SESSION["login_attempts"] > 2) {
       $_SESSION["locked"] = time();
       echo "Please wait for 10 seconds";
   } else {
       // 显示解锁按钮
   }
   

额外优化建议： #

• 别在输入框里默认填充用户名和密码（<input value="admin">和<input value="123456">），这在生产环境里是严重的安全问题，直接去掉这些value属性。
• 把锁定时长（10秒）改成常量，方便后续修改维护：

  define('LOCK_DURATION', 10);
  // 后面使用时替换成常量
  if ($difference > LOCK_DURATION) {
      unset($_SESSION["locked"]);
      unset($_SESSION["login_attempts"]);
  }
  

• 示例里的密码是明文存储的，实际项目中一定要用password_hash()加密密码，验证时用password_verify()。

内容的提问来源于stack exchange，提问作者Inspirit C