PHP实现未登录用户自动重定向至登录页面的方案咨询

要搞定这个问题，核心思路是用**PHP会话（Session）**跟踪用户的登录状态——只有用户通过合法登录流程验证后，才允许访问AdminUpdates.php，否则直接跳转回登录页。下面是具体的实现步骤和代码修正：

步骤1：修改登录页代码，添加会话验证与安全优化 #

你的原登录页有两个关键问题：一是没用来标记登录状态的会话机制，二是存在SQL注入风险（直接把用户输入拼进SQL语句）。以下是修复后的完整代码：

<?php
// 启动会话，必须放在所有HTML输出之前
session_start();

$conn = mysqli_connect("localhost", "root", "", "tnz");
if($conn === false){
    die("ERROR: Could not connect. " . mysqli_connect_error());
}

$loginError = '';
if(!empty($_POST['Name']) && !empty($_POST['password'])){
    $UserName = $_POST['Name'];
    $PIN = $_POST['password'];

    // 使用预处理语句避免SQL注入
    $stmt = mysqli_prepare($conn, "SELECT * FROM login WHERE Name = ? AND password = ?");
    mysqli_stmt_bind_param($stmt, "ss", $UserName, $PIN);
    mysqli_stmt_execute($stmt);
    $result = mysqli_stmt_get_result($stmt);
    $match = mysqli_num_rows($result);

    if($match > 0){
        // 登录成功，设置会话标记
        $_SESSION['logged_in'] = true;
        $_SESSION['username'] = $UserName; // 可选：存储用户名用于后续展示
        // 跳转前确保没有任何输出（原代码的echo会导致header失效）
        header('Location: AdminUpdates.php');
        exit(); // 终止脚本，避免后续代码执行
    }else{
        $loginError = 'Login Failed: Invalid UserID or PIN';
    }
}
?>
<html>
<body>
<div id="content">
    <h3>Login to AdminUpdate</h3>
    <?php if(!empty($loginError)): ?>
        <p style="color:red;"><?php echo $loginError; ?></p>
    <?php endif; ?>
    <form id="login" action="" method="post">
        <p>
            <label for="userid">UserID:</label>
            <input type="text" name="Name" id="UserID" required/>
        </p>
        <p>
            <label for="PIN">PIN:</label>
            <input type="password" name="password" id="PIN" required/>
        </p>
        <p>
            <input type="submit" name="btnSend" value="Login" class="submit_button" />
        </p>
    </form>
</div>
</body>
</html>

关键修改点： #

• 开头添加session_start();启动会话，必须放在所有HTML输出之前。
• 使用mysqli预处理语句替代直接拼接SQL，彻底避免SQL注入攻击。
• 登录成功时设置$_SESSION['logged_in'] = true;作为用户已登录的标记。
• 移除了原代码中echo 'LogIn Failed';后直接跳转的错误（echo会输出内容，导致header()函数失效），改用页面内提示错误信息。
• 添加exit();确保跳转后脚本立即终止，避免不必要的代码执行。

步骤2：在AdminUpdates.php开头添加登录验证 #

在AdminUpdates.php的最顶部（任何HTML输出之前）添加以下代码，检查用户是否已通过会话验证：

<?php
session_start();
// 检查会话标记是否存在，若未登录则跳转回登录页
if(!isset($_SESSION['logged_in']) || $_SESSION['logged_in'] !== true){
    header('Location: login.php'); // 替换成你的登录页实际文件名
    exit();
}
?>
<!-- 以下是AdminUpdates.php原本的HTML/PHP内容 -->

这样一来，当用户直接在地址栏输入AdminUpdates.php的URL时，由于会话中没有logged_in标记，会被自动跳转到登录页，只有通过合法登录流程的用户才能访问该页面。

额外建议： #

• 为了安全性，建议添加退出功能：点击退出按钮时执行session_destroy();，然后跳转回登录页。
• 不要在会话中存储敏感信息（比如密码），只存储必要的身份标记即可。
• 可以为会话设置过期时间，避免长期保持登录状态带来的安全风险。

内容的提问来源于stack exchange，提问作者jhon_123