PHP POST处理逻辑页面加载时自动触发的解决方法

未点击提交按钮就自动执行POST逻辑，是几个问题叠加导致的：

• 你每次加载页面发送的本身就是POST请求：要么是之前提交表单后没有做重定向处理，刷新时浏览器自动重发历史POST数据；要么是浏览器缓存了POST请求状态、安装了表单类插件自动发起POST请求，这种情况下仅判断$_SERVER["REQUEST_METHOD"] == "POST"必然会进入处理逻辑。
• 你之前写的isset($_POST['submit'])校验未生效，要么是代码放错了位置，要么是没有同步做必填字段校验，只要请求类型是POST，哪怕没携带任何表单参数，代码也会继续往下执行，空参数查库返回0结果，就会出现每次加载都输出"0 results"的现象，看起来像逻辑被自动触发。
• 现有代码存在逻辑漏洞：header()跳转之后没有加exit终止执行，哪怕触发了跳转，后续的代码依然会运行；查询结果输出时密码字段拼写错误（passsword多写了一个s），就算查到用户也读不出正确的密码字段值。

1. 替换POST判断逻辑，不要仅校验请求方法，必须同时满足「请求类型为POST、提交按钮参数存在、邮箱和密码必填字段存在」三个条件，才进入登录处理逻辑。
2. 严格遵循PRG（Post/Redirect/Get）模式：登录校验通过后，先把所有用户信息写入Session，再发起跳转，跳转后立刻加exit终止后续代码执行，从根源避免刷新页面重复提交POST请求的问题。
3. 给表单加上明确的action属性，给输入框加必填校验，增加错误提示位，避免空参数提交。

PHP部分（放在HTML输出之前） #

<?php
$serverName = "localhost";
$dBUserame = "blake";
$dBPassword = "password";
$dBName = "database";

session_start();

$conn = mysqli_connect($serverName, $dBUserame, $dBPassword, $dBName);
// 检查数据库连接
if ($conn->connect_error) {
    die("数据库连接失败: " . $conn->connect_error);
}

// 严格校验POST提交合法性
if ($_SERVER["REQUEST_METHOD"] == "POST" && isset($_POST['submit']) && isset($_POST['email']) && isset($_POST['password'])) {
    $email = mysqli_real_escape_string($conn, trim($_POST['email']));
    $password = mysqli_real_escape_string($conn, trim($_POST['password']));

    $sql = "SELECT * FROM users WHERE email = '$email' AND password = '$password'";
    $result = $conn->query($sql);

    if ($result->num_rows > 0) {
        // 先读取用户数据写入Session，再发起跳转
        while ($row = $result->fetch_assoc()) {
            $_SESSION['name'] = $row["fullname"];
            $_SESSION['email'] = $row["email"];
            $_SESSION['useridid'] = $row["id"];
            $_SESSION['useremail'] = $email;
        }
        $conn->close();
        // 跳转后必须终止后续代码执行
        header('Location: /admin/newsletter/contacts.php');
        exit;
    } else {
        $loginError = "邮箱或密码错误";
    }
    $conn->close();
}
?>

HTML表单部分 #

<div class="col-lg-12 row justify-content-center">
    <div class="col-lg-4 col-md-8 col-sm-9 mb-5">
        <div class="p-5" style="border-radius: 20px !important; background-color: #161621">
            <form id="myform" method="post" action="">
                <h2 class="h4 text-white mb-5">ACCOUNT LOGIN</h2>
                <!-- 错误提示位 -->
                <?php if (isset($loginError)): ?>
                <p style="color:#ff4757; font-weight:bold;"><?php echo $loginError; ?></p>
                <?php endif; ?>
                <div class="row form-group">
                    <div class="col-md-9">
                        <label class="text-white" for="email">EMAIL</label>
                        <input type="email" id="input-email" name="email" class="form-control rounded-0" required>
                        <p id="result" style="padding-top: 2%; font-weight: bold;"></p>
                    </div>
                </div>
                <div class="row form-group">
                    <div class="col-md-7 mb-3 mb-md-0">
                        <label class="text-white" for="password">PASSWORD</label>
                        <input type="password" name="password" id="input-password" class="form-control rounded-0" required>
                    </div>
                </div>
                <div class="row form-group">
                    <div class="col-md-12" style="padding-top: 5%"></div>
                </div>
                <input type="submit" name="submit" value="LOGIN" style="width: 150px" class="btn btn-primary mr-4 mb-2">
            </form>
        </div>
    </div>
</div>

如果改完仍有问题，按以下顺序排查：

• 打开浏览器开发者工具的网络面板，查看加载登录页时的请求方法，如果显示为POST，清空浏览器缓存、禁用所有表单自动填充/接口调试类浏览器插件后再测试。
• 检查站点伪静态、HTTPS跳转规则，确认没有把普通GET请求强制转换为POST请求的配置。
• 不要在接口调试工具保持POST请求状态下反复刷新页面，直接在浏览器地址栏输入登录页地址访问，此时请求默认是GET，不会触发POST处理逻辑。
• 安全提示：当前代码存在SQL注入风险、密码明文存储风险，正式上线前务必改成MySQLi/PDO预处理语句执行查询，密码使用password_hash()做哈希存储、password_verify()做校验，禁止明文存储密码。

内容的提问来源于stack exchange，提问作者Blake Price