PHP登录校验跳转能否被绕过？如何阻止未登录用户访问？

一、能否绕过跳转？ #

是有可能的。你的代码存在逻辑漏洞，当$_SESSION["LoggedIn"]被设置为非空且非严格布尔true的值时，会跳过跳转逻辑直接显示页面内容。另外，如果PHP配置存在风险，攻击者还可能通过Session劫持伪装登录状态，但这属于另一类安全问题。

二、原代码的具体问题 #

看你的代码：

session_start();

if (empty($_SESSION["LoggedIn"])) {
    $_SESSION["LoggedIn"] = false;
    $logginURL = "login.php";
    header("location: " . $logginURL);
    die();
} else {
    if ($_SESSION["LoggedIn"] == true) {
        $homeURL = "home.php";
        header("location: " . $homeURL);
        die();
    }
}

1. 松散比较风险：用== true判断时，PHP会自动转换类型，非空字符串（除"0"）、非零数字都会被判定为true，攻击者只要构造这类值就能伪装已登录。
2. 逻辑覆盖不全：如果$_SESSION["LoggedIn"]被改成比如字符串"no"，empty()返回false，且"no" == true返回true，会直接跳主页；更极端的情况，若值为非空非真的内容，会跳过所有跳转，直接显示首页内容。

三、防范措施 #

1. 修复登录判断逻辑 #

改用严格比较，覆盖所有非登录场景：

session_start();

// 只有当LoggedIn严格等于布尔true时，才视为已登录
if (!isset($_SESSION["LoggedIn"]) || $_SESSION["LoggedIn"] !== true) {
    $_SESSION["LoggedIn"] = false;
    header("Location: login.php");
    exit; // exit和die效果一致，更常用
}

// 已登录则跳主页
header("Location: home.php");
exit;

这样不管$_SESSION["LoggedIn"]是未设置、false、字符串还是数字，只要不是严格的布尔true，都会强制跳登录页，完全覆盖非登录场景。

2. 强化Session安全配置 #

修改PHP的php.ini（或通过ini_set()在代码中设置）：

• session.use_only_cookies = 1：强制SessionID只能通过Cookie传递，禁止URL传参，避免SessionID泄露。
• session.cookie_httponly = 1：给SessionCookie加HttpOnly属性，阻止JS读取，防止XSS窃取Session。
• session.cookie_secure = 1：如果网站用HTTPS，开启这个选项，强制Cookie只通过HTTPS传输。
• session.cookie_samesite = Strict：限制Cookie跨域发送，防范CSRF攻击。

3. 增加Session有效性验证 #

登录成功后，除设置LoggedIn，额外存储用户唯一标识（如用户ID）、客户端信息的哈希值，每次请求时验证这些信息，防止Session被劫持：

// 登录成功时的代码
session_start();
$_SESSION["LoggedIn"] = true;
$_SESSION["user_id"] = $valid_user_id; // 数据库中真实的用户ID
// 存储用户代理的哈希值，验证请求来源
$_SESSION["agent_hash"] = md5($_SERVER['HTTP_USER_AGENT']);
header("Location: home.php");
exit;

首页的验证代码：

session_start();

// 验证登录状态+Session有效性
if (!isset($_SESSION["LoggedIn"], $_SESSION["user_id"], $_SESSION["agent_hash"])
    || $_SESSION["LoggedIn"] !== true
    || $_SESSION["agent_hash"] !== md5($_SERVER['HTTP_USER_AGENT'])) {
    
    session_destroy(); // 销毁无效Session
    header("Location: login.php");
    exit;
}

header("Location: home.php");
exit;

4. 确保跳转前无输出 #

跳转代码必须放在页面最顶部，执行header()之前不能有任何输出（包括空格、HTML标签），否则跳转可能失效。如果需要先输出内容，可以用ob_start()开启输出缓冲。

总结 #

原代码的逻辑漏洞和松散比较是导致跳转可能被绕过的核心原因，通过修复判断逻辑、强化Session配置、增加有效性验证，就能彻底解决这个问题。

内容的提问来源于stack exchange，提问作者CulturedPaint