如何通过Session变量仅允许从验证页重定向访问PHP页面？

我需要实现仅允许用户通过验证页按钮点击（验证成功后）访问主页面的功能，验证的后端逻辑已经正常运行。目前我有两段PHP代码，分别实现“Session变量未设置时拦截页面并重定向到验证页”和“验证页表单提交验证成功后重定向到主页”的功能，但无法写出同时满足以下两个要求的代码：

1. 阻止直接访问主页面，仅允许从验证页重定向访问
2. 验证完成后可正常重定向到主页面

我尝试了以下几段代码，但都无法满足需求：

尝试代码1 #

<?php
    session_start(); // 启动会话
    // 检查当前页面是否不是capacityindex.php
    if (basename($_SERVER['PHP_SELF']) !== 'capacityindex.php') {
        if ((isset($_SESSION['display_page2']) && $_SESSION['display_page2'] === TRUE) || isset($_POST['Submitted'])) {
            // 保持显示capacityindex.php
            //header('Location:capacityindex.php');
        } else {
            header('Location:capacityverification.php');
            exit;
        }
    } else {
        // 当前页面已经是index.php，无需重定向
    }
?>

尝试代码2 #

<?php
    session_start(); // 启动会话
    // 检查当前页面是否是index.php
    $isIndexPage = (basename($_SERVER['PHP_SELF']) === 'capacityindex.php');

    // 如果是index.php页面且未被允许访问，重定向
    if ($isIndexPage && !isset($_SESSION['display_page2']) && $_SESSION['display_page2'] !== TRUE) {
        header('Location:capacityverification.php');
        exit;
    }
?>

尝试代码3（组合版本） #

<?php
    session_start(); // 启动会话
    // 检查当前页面是否是index.php
    $isIndexPage = (basename($_SERVER['PHP_SELF']) === 'capacityindex.php');
    $isNotIndexPage = (basename($_SERVER['PHP_SELF']) !== 'capacityindex.php');

    if (basename($_SERVER['PHP_SELF']) !== 'capacityindex.php') {
        if ((isset($_SESSION['display_page2']) && $_SESSION['display_page2'] === TRUE) || isset($_POST['Submitted'])) {
            // 保持显示capacityindex.php
            //header('Location:capacityindex.php');
        } else {
            header('Location:capacityverification.php');
            exit;
        }
    }

    // 如果是index.php页面且未被允许访问，重定向
    if ($isIndexPage && !isset($_SESSION['display_page2']) && $_SESSION['display_page2'] !== TRUE) {
        header('Location:capacityverification.php');
        exit;
        // 如果不是index.php页面且被允许访问，保持显示capacityindex.php
    }
?>

当前设置Session的代码 #

<?php
session_start(); // 启动会话

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (isset($_POST['Submitted'])) {
        $_SESSION['display_page2'] = true;
        // 向AJAX请求返回成功响应
        echo json_encode(array('status' => 'success'));
    } else {
        // 向AJAX请求返回错误响应
        echo json_encode(array('status' => 'error'));
    }
} else {
    // 对无效请求方法返回错误响应
    echo json_encode(array('status' => 'not post error'));
}
?>

你的核心问题在于主页面的访问判断逻辑存在漏洞，同时未注意会话变量的检查顺序（易触发未定义变量报错）。以下是修正后的实现方案：

1. 主页面（capacityindex.php）的访问拦截代码 #

在capacityindex.php的最顶部添加以下代码，确保只有验证通过（会话变量display_page2为true）的用户才能访问：

<?php
session_start();

// 检查会话是否验证通过，未通过则重定向到验证页
if (!isset($_SESSION['display_page2']) || $_SESSION['display_page2'] !== true) {
    header('Location: capacityverification.php');
    exit;
}
?>

2. 验证页的逻辑调整 #

如果验证通过AJAX提交，前端收到success响应后手动跳转到主页面即可；如果是普通表单提交，可直接在验证成功后重定向：

修正后的验证处理代码（兼容AJAX和普通提交） #

<?php
session_start();

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    if (isset($_POST['Submitted'])) {
        // 此处添加你的实际验证逻辑（如验证码校验、权限检查等）
        // 假设验证已通过
        $_SESSION['display_page2'] = true;
        
        // 判断是否为AJAX请求
        if (isset($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) === 'xmlhttprequest') {
            echo json_encode(['status' => 'success']);
        } else {
            // 普通表单提交，直接重定向到主页面
            header('Location: capacityindex.php');
            exit;
        }
    } else {
        $response = ['status' => 'error', 'msg' => '提交参数错误'];
        echo json_encode($response);
    }
} else {
    echo json_encode(['status' => 'error', 'msg' => '仅支持POST请求']);
}
?>

3. 关键说明 #

• 主页面的拦截逻辑必须放在页面最顶部，确保在任何输出之前执行，避免header函数报错
• 检查会话变量时，先判断isset再取值，防止触发PHP未定义变量警告
• 若使用AJAX验证，前端需在收到success响应后执行跳转（例如window.location.href = 'capacityindex.php'）

内容的提问来源于stack exchange，提问作者Dumebi