PHP标签语法使用及SESSION登录验证失效问题咨询

一、PHP开闭标签与HTML混合写法的正确性 #

你的写法是完全正确的！这种在PHP逻辑判断的大括号中切换到HTML模式输出内容的方式，是PHP中混合动态逻辑与静态HTML的常用且标准的写法。

举个你代码里的例子：

<?php if(isset($_SESSION['log'])) { ?>
<!-- 这里的HTML内容会在条件为真时输出 -->
<!DOCTYPE html>
<html>
...（HTML内容）
</html>
<?php } else { ?>
<!-- 条件为假时输出的内容 -->
<?php } ?>

这种写法的优势在于，当HTML内容较多时，比用echo拼接HTML字符串更清晰易读，也更方便维护样式和结构。只要保证PHP标签的开闭和大括号的配对正确，就不会有语法问题。

二、登录验证后Session不生效的问题排查 #

你的welcome.php始终进入else分支，核心问题出在登录处理页面没有启动Session：

1. 必须先启动Session才能使用$_SESSION #

$_SESSION变量的使用依赖于session_start()函数，这个函数必须在任何输出（包括HTML标签、空格、echo内容）之前调用。你的登录处理代码中直接设置$_SESSION['log']=1，但没有先调用session_start()，导致Session变量根本没有被保存到服务器，自然在welcome.php中检测不到。

2. 修正登录处理代码 #

在登录处理代码的最顶部添加session_start()，修改后的代码示例：

<?php
session_start(); // 必须放在最开头，确保无输出
$uname=$_POST['uname'];
$password=$_POST['password'];
$password = md5($password);
require_once('connection.php');

// 注意：这里建议使用占位符防止SQL注入，原写法存在安全风险
$query = "SELECT * FROM `login_info` WHERE `uname`=? && `password`=?";
$stmt = $pdo->prepare($query);
$stmt->execute([$uname, $password]);

$count=$stmt->rowCount();
if($count==1) {
    echo "Login success";
    $_SESSION['log']=1;
    $_SESSION['uname'] = $_POST['uname'];
    header("refresh:1;url=welcome.php");
} else {
    echo "Login Credentials Not Found";
    echo"<a href='index.php'><br/><br/>Back to Login Page</a>";
}
?>

3. 额外注意事项 #

• 确保connection.php文件中没有任何输出（比如空格、echo内容），否则session_start()会因为HTTP头部已经发送而报错。
• 尽量避免在header()跳转之前使用echo输出内容，如果要跳转，最好使用header("Location: welcome.php");，并在之后加上exit;终止脚本执行，这样更规范：

  $_SESSION['log']=1;
  $_SESSION['uname'] = $_POST['uname'];
  header("Location: welcome.php");
  exit; // 终止脚本，防止后续代码执行
  

• 原代码中的SQL查询存在SQL注入风险，虽然用了prepare，但变量直接拼接进SQL语句的写法是错误的，必须使用占位符（如上面示例中的?）来传递参数，这能有效防止注入攻击。

总结 #

• PHP标签与HTML混合的写法是正确的，放心使用；
• 登录页面缺失session_start()是Session不生效的关键原因，添加后即可解决问题；
• 建议修复SQL注入风险，提升代码安全性。

内容的提问来源于stack exchange，提问作者nedsmith