PHP加密页面显示内容与浏览器源码不匹配，跳转修复方案是否正确？

页面显示与源码不一致的原因 #

你遇到的现象本质是浏览器查看源码的机制和表单提交逻辑的冲突：

• 你提交登录表单是POST请求，服务端拿到pw_change_checkbox参数，输出改密表单后终止执行，浏览器当前渲染的就是POST请求返回的改密表单内容
• 绝大多数主流浏览器查看当前页面源码时，不会直接复用当前POST请求的响应缓存，而是会对当前URL重新发起GET请求。此时你的登录态已经写入session，GET请求没有携带改密复选框的参数，所以服务端会直接输出受保护的页面内容，最终你看到的源码就和当前显示的内容不一致。

存在的安全隐患 #

这个问题存在明确的安全风险：

• 敏感内容已经可以通过查看源码的方式泄露，哪怕当前页面显示的是改密表单，未授权用户只要能操作当前浏览器，就能直接拿到受保护的内容
• 由于登录态已经生效，任何第三方只要能拿到对应session（比如XSS攻击、同设备未关闭浏览器的场景），不需要走改密流程，直接访问受保护页面URL就能获取内容。

你的修复方案判断 #

你的修改思路完全正确，属于标准修复方案：
原逻辑的问题是在POST请求的响应里直接输出改密表单，同时已经写入了登录态，同URL的其他请求就能拿到保护内容。改为跳转逻辑后：

1. 符合Post/Redirect/Get（PRG）的Web开发最佳实践，避免用户刷新页面重复提交表单的问题
2. 跳转后浏览器地址变更为独立的改密页地址，后续刷新、查看源码都是请求改密页的内容，不会再触发原受保护页面的内容输出
3. 额外优化建议：跳转前可以加临时session标记，比如$_SESSION['change_pw_required'] = true;，改密页校验该标记存在才展示表单，改密完成后立即删除该标记，防止用户直接访问改密页绕过逻辑。

内容的提问来源于stack exchange，提问作者Jeff