PHP登录跳转首页后$_SESSION未更新登录状态失效问题

登录后$_SESSION不生效是代码逻辑错误直接导致的：
index.php把访客默认Session初始化逻辑写在了session_status() == PHP_SESSION_NONE判断块中，这个判断的触发条件是当前请求尚未启动会话——也就是说每次新请求首次加载session_start()时，都会执行块内代码，直接把$_SESSION['user']重置为访客默认值，完全覆盖登录成功后写入的用户身份信息。
除此之外还有两个隐患：

• login.php没有主动启动会话，如果登录表单直接提交到login.php而非走index.php路由，对$_SESSION的赋值只是临时普通数组，不会持久化到会话存储
• 登录成功跳转后没有调用exit/die终止执行，后续代码仍会运行，可能引发不可预期的异常

1. 修正index.php会话初始化逻辑 #

仅当会话中不存在对应字段时才初始化默认值，禁止每次启动会话就全量覆盖Session内容：

<?php
// 统一在入口文件启动会话，所有路由加载的子文件无需重复调用session_start
if (session_status() == PHP_SESSION_NONE) {
    ob_start();
    session_start();
}
// 仅当会话无用户信息时初始化访客默认值，不覆盖已存在的登录态
if (!isset($_SESSION['user'])) {
    $_SESSION['user'] = [];
    $_SESSION['user']['username'] = '';
    $_SESSION['user']['role'] = 2; // 2: guest, 1: admin, 0: user
    $_SESSION['user']['identity'] = $_SERVER['REMOTE_ADDR'];
}
// 错误标记同理，不做无意义的重复重置
if (!isset($_SESSION['errors'])) {
    $_SESSION['errors'] = false;
}

require 'global.php';
require 'dao/pdo.php';

get_header();
$page = $_GET['page'] ?? 'home';
$path = "site/{$page}.php";

if (file_exists($path)) {
?>
    <!-- css -->
    <style>
        <?php include "./content/css/{$page}.css" ?>
    </style>
    <!-- js -->
    <script src="./content/js/<?php echo $page ?>.js"></script>
<?php
    require $path;
} else {
    echo "Page doesn't exist";
}

get_footer();
?>

2. 修正login.php登录逻辑 #

跳转后立刻终止代码执行，避免后续逻辑干扰：

<?php
// 入口文件已统一启动会话，此处无需重复调用session_start
if (isset($_POST['login'])) {
    $username = $_POST['username'];
    $password = $_POST['password'];

    if ($user = validate_login($username, $password)) {
        $_SESSION['user']['username'] = $username;
        $_SESSION['user']['role'] = $user['role'];
        $_SESSION['user']['identity'] = $_SERVER['REMOTE_ADDR'];
        $_SESSION['errors'] = false; 
        // 跳转后立即终止执行
        header('Location: index.php?page=home');
        exit;
    } else {
        $_SESSION['errors'] = 'stuff';
    }
}

<html stuff here>
?>

修改后走完整登录流程即可正常生效：提交合法账号密码后，login.php写入的用户信息会被持久化到会话，跳转到首页时index.php检测到Session中已存在用户字段，不会再重置为访客默认值，页面可正常读取登录后的用户名、角色信息。

排查时注意确认项目其他位置没有全量覆盖$_SESSION['user']字段的代码，否则仍会出现登录态丢失问题。

内容的提问来源于stack exchange，提问作者Atheralon