PHP会话控制直接URL访问失效，登录后仍跳转回登录页

1. 确认Session初始化时机 #

所有涉及Session操作的页面（index.php、home.php、login.inc.php），必须在任何输出之前调用session_start()——包括页面开头的空格、HTML标签、甚至隐藏的BOM头都不行。比如home.php的最顶部必须是：

<?php
session_start();
// 后续验证逻辑
?>

如果session_start()之前有输出，Session Cookie无法被浏览器正确保存，会导致跳转后Session直接丢失。

2. 检查登录成功后的Session设置 #

打开login.inc.php，找到验证用户名密码通过的代码块，确认是否正确设置了Session标识：

// 假设验证通过后获取到了用户数据
$_SESSION['user_id'] = $user_data['id'];
$_SESSION['is_logged_in'] = true;

// 设置完Session后立即跳转，必须加exit终止代码执行
header("Location: home.php");
exit();

这里一定要加exit()，否则后续代码可能继续执行，甚至意外清除已设置的Session。

3. 修正home.php的Session验证逻辑 #

home.php里的验证代码要准确判断Session是否存在，避免误判：

session_start();
// 用isset()判断关键Session变量，不要用empty()（比如用户ID为0时empty会返回true）
if (!isset($_SESSION['is_logged_in']) || $_SESSION['is_logged_in'] !== true) {
    header("Location: index.php");
    exit();
}

如果用empty($_SESSION['user_id'])判断，当用户ID是数字0时会被误判为未登录状态。

4. 排查Session配置与Cookie问题 #

本地开发时，检查php.ini的Session相关配置：

• session.cookie_domain设为localhost或留空
• session.cookie_secure设为Off（HTTP环境下不能开启，否则Cookie无法生效）
• session.cookie_path设为/，确保全站都能访问Session Cookie

可以在登录成功后和home.php开头分别打印var_dump($_SESSION)和var_dump($_COOKIE)，对比两个页面的PHPSESSID是否一致——如果不一致，说明Session没有被正确传递。

5. 检查functions.inc.php的干扰 #

确认functions.inc.php里没有意外清除Session的代码，比如session_destroy()、unset($_SESSION['is_logged_in'])这类操作，避免登录后Session被提前销毁。

内容的提问来源于stack exchange，提问作者mewan