PHP Session存储密码后刷新页面仍返回登录表单问题排查

1. 中间件逻辑错误：开头无条件将请求的password存入Session，会覆盖已有的正确Session值。比如访问/noaccess（GET请求无password参数）时，会把Session里的正确密码改成null，导致刷新后回到登录页。
2. 中间件条件判断不合理：允许空密码放行，违背验证逻辑，还会导致Session被污染。
3. 路由设计冗余：/noaccess路由无需绑定中间件，且不该指向checkPass方法。
4. 控制器方法逻辑冗余：checkPass方法重复判断密码，且依赖请求参数而非Session状态。

1. 修正中间件代码 #

中间件需区分登录提交请求和普通请求：登录请求验证密码，正确则存入登录标记；普通请求验证Session是否有有效登录状态，无则重定向登录。

class PasswordAuthTask
{
    public function handle(Request $request, Closure $next)
    {
        $expectedPass = '123';
        
        // 处理登录提交请求（POST /login）
        if ($request->isMethod('post') && $request->routeIs('check.pass')) {
            $password = $request->input('password');
            
            if ($password === $expectedPass) {
                $request->session()->put('is_authenticated', true); // 用布尔标记替代明文密码，更安全
                return $next($request);
            } else {
                return redirect()->route('login')->withErrors(['password' => '密码错误']);
            }
        }
        
        // 验证普通请求的登录状态
        if (!$request->session()->has('is_authenticated') || !$request->session()->get('is_authenticated')) {
            return redirect()->route('login');
        }
        
        return $next($request);
    }
}

2. 调整路由配置 #

明确路由职责：登录页和无权限页无需中间件，受保护的内容页绑定中间件。

// 登录页（无需中间件）
Route::get('/login', 'login@show')->name('login');
// 登录提交（用中间件验证）
Route::post('/login', 'login@checkPass')->name('check.pass')->middleware(PasswordAuthTask::class);
// 无权限页（无需中间件）
Route::get('/noaccess', 'login@showNoAccess')->name('noaccess');
// 受保护的内容页（绑定中间件）
Route::get('/content', 'login@showContent')->name('content')->middleware(PasswordAuthTask::class);

3. 修正控制器代码 #

简化方法逻辑，明确各方法职责：

use Illuminate\Support\Facades\Session;

class login extends Controller
{
    public function show()
    {
        // 已登录则直接跳转内容页
        if (Session::has('is_authenticated') && Session::get('is_authenticated')) {
            return redirect()->route('content');
        }
        
        return view('login');
    }

    public function checkPass(Request $request)
    {
        // 中间件已验证密码，直接跳转内容页
        return redirect()->route('content');
    }
    
    public function showNoAccess()
    {
        return view('noaccess');
    }
    
    public function showContent()
    {
        return view('content');
    }
}

4. 登录视图优化（可选） #

在login.blade.php中添加错误提示：

@if ($errors->has('password'))
    <div class="alert alert-danger">
        {{ $errors->first('password') }}
    </div>
@endif

<form method="POST" action="{{ route('check.pass') }}">
    @csrf
    <input type="password" name="password" placeholder="输入密码">
    <button type="submit">登录</button>
</form>

• 中间件区分请求类型，避免覆盖Session有效状态。
• 用布尔标记存储登录状态，替代明文密码，提升安全性。
• 路由职责清晰，受保护页面统一通过中间件验证。
• 控制器方法各司其职，减少冗余判断。

内容的提问来源于stack exchange，提问作者jeffri encarnacion