PHP登录逻辑问题：双因素认证状态下的密码校验与跳转实现

嘿，刚接触PHP两周就能上手开发登录功能，已经很厉害了！咱们来一步步把这个逻辑捋顺，解决你遇到的问题～

原代码的核心问题 #

你之前的SQL查询只筛选了is2facEnabled='0'的用户，这就导致：

• 当用户启用了2FA时，这个查询根本返回不了结果，自然没法验证密码
• 没有处理「用户不存在」「密码错误」这类异常场景，所以错误时没有任何提示

正确的逻辑流程 #

我们应该先获取用户的完整信息（不管2FA状态），再分步骤校验：

1. 根据邮箱查询已验证的用户（获取密码哈希、2FA启用状态）
2. 判断用户是否存在：不存在则提示「邮箱未注册或未验证」
3. 验证密码正确性：密码错误则提示「密码错误」
4. 密码正确后，根据2FA状态分支处理：
   • 未启用2FA：直接登录，跳转至prod.php
   • 已启用2FA：把用户标识存入Session，跳转至2FA验证页面

修正后的代码示例 #

// 处理输入（使用prepare语句时，邮箱的escape可以省略，但保持习惯也没问题）
$email = mysqli_real_escape_string($db, $_POST['email']);
$password = $_POST['password']; // 密码无需escape，后续用password_verify校验

// 查询已验证用户的核心信息：ID、密码哈希、2FA状态
$stmt = $db->prepare("SELECT id, password, is2facEnabled FROM users WHERE email = ? AND isEmailConfirmed='1'");
$stmt->bind_param("s", $email);
$stmt->execute();
$stmt->bind_result($userId, $hash, $is2facEnabled);
$userExists = $stmt->fetch();
$stmt->close();

// 初始化错误提示变量
$error = '';

if (!$userExists) {
    // 用户不存在或未完成邮箱验证
    $error = "邮箱未注册或未完成验证";
} else if (!password_verify($password, $hash)) {
    // 密码校验失败
    $error = "密码错误，请重新输入";
} else {
    // 密码正确，处理2FA分支逻辑
    if ($is2facEnabled == 0) {
        // 未启用2FA，直接完成登录
        $_SESSION['user_id'] = $userId;
        $_SESSION['email'] = $email;
        header('Location: prod.php');
        exit; // 跳转后必须exit，避免后续代码执行
    } else {
        // 已启用2FA，跳转至验证码页面，临时存储用户ID用于后续校验
        $_SESSION['temp_user_id'] = $userId;
        header('Location: 2fa-verification.php');
        exit;
    }
}

// 有错误时跳转回登录页并传递错误信息
if (!empty($error)) {
    $_SESSION['login_error'] = $error;
    header('Location: login.php');
    exit;
}

额外注意事项 #

• 跳转页面后一定要加exit;，防止后续代码继续执行导致意外问题
• 2FA验证页面需要读取temp_user_id来确认验证主体，验证通过后再正式写入登录Session（比如把temp_user_id转为user_id并清除临时变量）
• 建议优先用user_id存储Session，比直接存邮箱更安全、灵活

内容的提问来源于stack exchange，提问作者Marlon F.