解决忘记密码流程中OTPCode.php页面用户邮箱显示的变量错误问题

核心问题分析 #

出现“未定义变量”错误，基本逃不开这几个原因：

• 未在所有使用session的页面初始化session
• forgetPasswordProcess.php中未正确将邮箱存入session
• 跳转逻辑导致session未被正确保存

分步修复方案 #

1. 全局开启session初始化 #

在forgetPasswordProcess.php和OTPCode.php的最顶部（任何HTML输出或echo之前）添加session启动代码：

<?php
session_start();
// 后续业务代码
?>

注意：如果页面有任何前置输出（比如空格、HTML标签），session_start()会触发"headers already sent"错误，必须确保它是页面第一个执行的PHP代码。

2. 在forgetPasswordProcess.php中存储邮箱到session #

当数据库验证邮箱存在后，将邮箱写入session再跳转：

// 假设$user_email是从数据库查询到的有效邮箱
$_SESSION['reset_email'] = $user_email;

// 跳转至OTPCode.php，必须用exit终止脚本
header("Location: OTPCode.php");
exit;

3. 在OTPCode.php中安全读取并显示邮箱 #

先校验session变量是否存在，再转义输出防止XSS攻击：

<?php
session_start();
// 防止用户直接访问OTPCode.php的情况
if (!isset($_SESSION['reset_email'])) {
    header("Location: forgetPassword.php");
    exit;
}
$target_email = $_SESSION['reset_email'];
?>

<!-- HTML显示部分 -->
<div class="otp-tip">
    请输入发送至 <strong><?php echo htmlspecialchars($target_email); ?></strong> 的OTP验证码
</div>

4. 重置完成后清理session #

当用户验证OTP并完成密码重置后，及时销毁邮箱session：

// 密码重置成功执行
unset($_SESSION['reset_email']);
// 若无需保留其他session，可直接调用session_destroy();

额外排查点 #

• 检查服务器php.ini中session.save_path配置是否有效，确保服务器有该目录的写入权限
• 确认用户浏览器未禁用Cookie（session默认依赖Cookie存储ID）
• 排查forgetPasswordProcess.php跳转前是否有echo、print等输出，这类输出会导致header无法正常发送，session可能未写入

内容的提问来源于stack exchange，提问作者Kaveesha Chamod