PHP登录代码失效问题排查——基于扁平文件存储的账号认证系统

咱们直接说核心问题：页面加载时$_POST变量是空的，而你的扁平文件里大概率存在空行或者被分隔线干扰的无效条目，当循环到这些空条目时，$user和$password会变成空字符串，刚好和空的$_POST['username']、$_POST['password']匹配，直接触发了登录成功的跳转。

接下来咱们一步步修复代码，顺便解决几个潜在的坑：

1. 先给登录逻辑加触发条件 #

登录代码不该页面一加载就跑，必须只在用户点击提交按钮后才执行：

<?php
// 只有表单POST提交且点击了登录按钮时，才执行验证逻辑
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['submitsignupbtn'])) {
    // 后续登录验证代码放在这里
}
?>

2. 修复扁平文件的解析逻辑 #

你的文件里有--------------------分隔线，当前代码会把这些分隔线当成用户条目解析，同时还会处理空行，导致无效匹配。我们需要跳过这些无效内容：

$myFile = "/authentication/signup/accounts.txt"; 
$contents = file_get_contents($myFile); 
$contents = explode("\n", $contents); 

$loginSuccess = false; // 用一个变量标记是否登录成功

foreach($contents as $values){ 
    $values = trim($values); // 去掉每行的换行符和首尾空格
    // 跳过空行和分隔线
    if(empty($values) || str_starts_with($values, '--------------------')){
        continue;
    }
    
    $loginInfo = explode(",", $values); 
    // 确保分割后有合法的用户名和密码哈希两个字段
    if(count($loginInfo) !== 2){
        continue;
    }
    
    $storedUser = trim($loginInfo[0]); 
    $storedHash = trim($loginInfo[1]); 
    
    // 重点！哈希密码不能直接用==比较，必须用password_verify验证
    if($storedUser === $_POST['username'] && password_verify($_POST['password'], $storedHash)){ 
        session_start(); 
        $_SESSION['username'] = $storedUser; // 把用户名存入会话，方便后续验证
        header('Location: /authentication/login/data=success'); 
        exit; // 跳转后必须终止脚本，避免后续代码乱执行
    }
}

// 循环结束后统一判断是否提示错误，避免多次弹出alert
if(!$loginSuccess){
    echo '<script>alert("Please verify your username and password.");</script>'; 
}

3. 几个必须修正的细节 #

• session_start()要放在最前面：如果你的PHP代码在输出HTML之后调用session_start()，会直接报错。建议把PHP代码放在页面最顶部，确保session_start()在任何输出之前执行。
• 密码验证必须用password_verify：你提到密码是哈希加盐处理的，直接用==比较明文和哈希值永远不会匹配，PHP内置的password_verify才是正确的验证方式。
• 跳转后一定要exit：否则脚本会继续执行后续代码，可能导致意外的输出或者逻辑混乱。
• 避免重复弹出alert：原来的代码每循环一次不匹配就弹一次提示，会弹出N次，现在改成循环结束后统一提示。

4. 最终整合的完整代码示例 #

<?php
session_start(); // 必须放在最顶部，确保没有任何输出前执行

$loginError = '';

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['submitsignupbtn'])) {
    $myFile = "/authentication/signup/accounts.txt"; 
    $contents = file_get_contents($myFile); 
    $contents = explode("\n", $contents); 

    $loginSuccess = false;
    $inputUser = trim($_POST['username']);
    $inputPass = $_POST['password'];

    foreach($contents as $values){ 
        $values = trim($values);
        if(empty($values) || str_starts_with($values, '--------------------')){
            continue;
        }
        
        $loginInfo = explode(",", $values); 
        if(count($loginInfo) !== 2){
            continue;
        }
        
        $storedUser = trim($loginInfo[0]); 
        $storedHash = trim($loginInfo[1]); 
        
        if($storedUser === $inputUser && password_verify($inputPass, $storedHash)){ 
            $_SESSION['username'] = $storedUser;
            header('Location: /authentication/login/data=success'); 
            exit;
        }
    }

    if(!$loginSuccess){
        $loginError = '<script>alert("Please verify your username and password.");</script>';
    }
}
?>

<!-- HTML表单部分 -->
<?php echo $loginError; ?>
<form action="" method="POST"> 
    <p class="center"> 
        <label for="username">Username</label><br /> 
        <input type="text" name="username" id="username" required></input></p> 
    <p class="center"><label for="password">Password</label><br /> 
        <input type="password" name="password" id="password" class="input-xlarge" required></input></p> 
    <br /> 
    <p class="center"><input type="submit" value="Login" name="submitsignupbtn"></input></p> 
</form>

这样修改后，页面加载时不会执行任何验证逻辑，只有点击登录按钮后才会触发验证，同时正确处理了扁平文件里的分隔线和空行，也用了正确的哈希密码验证方式。

内容的提问来源于stack exchange，提问作者KadenBlox