如何在PHP中编写基于session的SQL查询实现admin与moderator成员表权限控制

算力阿峰

2026-9-26

原SQL写法错误原因

第一种SQL写法本身不具备可行性，触发语法报错的核心问题有两个：

SELECT字段列表中id和CASE关键字之间缺少逗号分隔，这是你收到第一行语法报错的直接诱因
SQL的CASE属于标量值表达式，仅能返回单个数值/字符串等标量结果，无法在THEN分支中返回子查询的多行多列结果集，即便补全逗号，这个写法也不能实现需求。

PHP+Session判断方案的合理性

你写的第二种方案是同类权限控制场景下的常规实现，是可行的，但是需要补充几个优化点避免安全和逻辑漏洞：

增加SQL注入防护：不要直接把$_SESSION['__SB_ADMIN_USER_ID__']拼接进SQL语句，哪怕该值是你服务端写入session的，也建议使用参数绑定的方式传参，避免注入风险。
补充兜底权限控制：当前判断仅覆盖了admin和moderator两种用户类型，如果出现其他身份、或者session值被伪造篡改的情况，会出现$all_members未定义的问题，建议新增else分支处理异常情况，示例如下：

if($_SESSION["__SB_ADMIN_USER_TYPE__"] == 'admin') {
    $all_members = query("SELECT * FROM " . _SB_MEMBERS_ . " ORDER BY datetime DESC");
} elseif($_SESSION["__SB_ADMIN_USER_TYPE__"] == 'moderator'){
    // 改用参数绑定传用户ID，避免注入
    $all_members = query("SELECT * FROM " . _SB_MEMBERS_ . " WHERE admin_id = ? ORDER BY datetime DESC", [$_SESSION['__SB_ADMIN_USER_ID__']]);      
} else {
    // 兜底逻辑：返回空列表、或抛出权限错误、或跳转到登录页
    $all_members = [];
}