登录后如何跳转至之前页面？PHP登录跳转问题排查

看起来你卡在了登录会话的一致性问题上——登录后手动跳转能识别状态，但直接访问受保护页面就被踢回，而且登录提交后页面只刷新不跳转，核心问题出在会话初始化时机和输出顺序上，还有一些代码细节的错误，我帮你梳理修复：

核心问题点 #

1. session_start()位置错误：你把它放在了HTML输出（<h2>Login Form</h2>）之后，PHP的会话Cookie必须在任何输出之前发送，否则浏览器接收不到会话标识，后续页面就识别不到登录状态。
2. 意外输出打断跳转：登录成功后的header()跳转指令，如果前面有HTML输出（比如表单标签、标题），会直接失效，导致页面只刷新。
3. 无效函数调用导致报错：test_input函数里调用了不存在的checkuser($data)，这会中断代码执行，让登录逻辑走不完。
4. SQL注入高危风险：直接把用户输入拼进SQL查询，这是严重的安全漏洞，必须修复。

修复后的完整代码 #

第一步：修正session_start()和代码结构 #

把会话初始化、数据库连接放在PHP代码最顶部，确保没有任何前置输出：

<?php
session_start(); // 必须放在最开头，优先于任何HTML输出
// 这里要先初始化数据库连接$connect，比如：
// $connect = mysqli_connect("localhost", "username", "password", "dbname");
?>
<!DOCTYPE html>
<html>
<head>
    <title>Login</title>
</head>
<body>
<?php
$username = $password = "";
$usernameErr = $passwordErr = $mainErr = "";
$redirect = NULL;

// 获取跳转目标地址
if(isset($_GET['location'])) {
    $redirect = htmlspecialchars($_GET['location']);
} elseif(isset($_POST['location']) && $_POST['location'] != '') {
    $redirect = $_POST['location'];
}

// 表单验证函数，去掉无效的checkuser调用
function test_input($data) {
    $data = trim($data);
    $data = stripslashes($data);
    $data = htmlspecialchars($data);
    return $data;
}

// 登录提交逻辑
if(isset($_POST["Login"])) {
    // 用户名验证
    if (empty($_POST["txtuser"])) {
        $usernameErr = "Name is required";
    } else {
        $username = test_input($_POST["txtuser"]);
        if (!preg_match("/^[a-zA-Z ]*$/",$username)) {
            $usernameErr = "Only letters and white space allowed";
        }
    }

    // 密码验证
    if (empty($_POST["txtpass"])) {
        $passwordErr = "Password is required";
    } else {
        $password = test_input($_POST["txtpass"]);
        if (!preg_match("/^[a-zA-Z ]*$/",$password)) {
            $passwordErr = "Only letters and white space allowed";
        }
    }

    // 验证通过后查询数据库（改用预处理语句防注入）
    if(empty($usernameErr) && empty($passwordErr)) {
        $stmt = $connect->prepare("SELECT * FROM tbl_customer WHERE CustomerName = ? AND password = ?");
        $stmt->bind_param("ss", $username, $password);
        $stmt->execute();
        $result = $stmt->get_result();

        if ($result->num_rows > 0) {
            // 设置会话
            $_SESSION['user_name'] = $username;
            $_SESSION['start'] = time();
            $_SESSION['expire'] = $_SESSION['start'] + (10 * 60);

            // 开启输出缓冲，确保跳转前无输出
            ob_start();
            if($redirect) {
                header("Location: " . $redirect);
            } else {
                header("Location: login.php");
            }
            ob_end_flush();
            exit(); // 跳转后终止脚本，防止后续代码执行
        } else {
            $mainErr = "Username and/or password do not match! Try again!";
        }
    }
}
?>

<h2>Login Form</h2>
<form role="form" method='post' action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]);?>" id="loginform">
    <!-- 隐藏的跳转目标字段 -->
    <input type="hidden" name="location" value="<?php echo $redirect ?? ''; ?>" />
    
    <!-- 用户名输入框 -->
    <div>
        <label>Username:</label>
        <input type="text" name="txtuser" value="<?php echo $username; ?>">
        <span class="error"><?php echo $usernameErr; ?></span>
    </div>
    
    <!-- 密码输入框 -->
    <div>
        <label>Password:</label>
        <input type="password" name="txtpass">
        <span class="error"><?php echo $passwordErr; ?></span>
    </div>
    
    <!-- 错误提示 -->
    <?php if(!empty($mainErr)): ?>
        <div class="error"><?php echo $mainErr; ?></div>
    <?php endif; ?>
    
    <button type="submit" name="Login">Login</button>
</form>
</body>
</html>

受保护页面的会话验证 #

在commentslisting.php这类需要登录的页面开头，必须添加会话验证逻辑，确保只有登录用户能访问：

<?php
session_start();
// 检查会话是否存在且未过期
if(!isset($_SESSION['user_name']) || time() > $_SESSION['expire']) {
    // 销毁无效会话
    session_unset();
    session_destroy();
    // 重定向到登录页，并携带当前页面地址
    $currentUrl = urlencode($_SERVER['REQUEST_URI']);
    header("Location: login.php?location=" . $currentUrl);
    exit();
}
?>

关键注意事项 #

• 会话初始化优先级：所有涉及会话的页面，session_start()必须放在最顶部，哪怕是一个空格、换行都不能出现在它前面。
• 跳转后终止脚本：header()之后一定要加exit()或die()，防止后续代码继续执行导致意外输出。
• 输出缓冲的使用：如果不确定代码中是否有意外输出（比如空格），可以用ob_start()开启输出缓冲，确保header()能正常工作。
• 安全问题：永远不要直接拼接用户输入到SQL查询中，预处理语句是必须的，避免SQL注入攻击。

内容的提问来源于stack exchange，提问作者user11948517