CodeIgniter框架未登录时登录验证弹窗提前触发如何解决

根因说明 #

• 错误1：直接通过原生$_SESSION读取CodeIgniter的flashdata，未触发框架对flashdata的自动销毁逻辑，错误消息会一直残留在会话中，只要会话未过期，每次访问登录页都会读取到该值。
• 错误2：登出方法使用原生session_destroy()，未完整清理CodeIgniter管理的会话数据，历史残留的错误flashdata不会被清除，登出后重新访问登录页依然会触发错误提示。
• 额外问题：现有登录查询直接拼接用户输入，存在SQL注入安全风险。

修复代码 #

1. 修复登录页index方法的错误读取逻辑 #

使用CodeIgniter封装的flashdata方法读取数据，读取后该临时数据会自动销毁，不会残留到后续请求：

public function index()
{
    $data = [];
    // PHP版本>=7.0可直接用null合并运算符
    $data['error'] = $this->session->flashdata('error') ?? 'NO_ERROR';
    // 低版本PHP兼容写法
    // if($this->session->flashdata('error')){
    //     $data['error'] = $this->session->flashdata('error');
    // }else{
    //     $data['error'] = 'NO_ERROR';
    // }
    $this->load->view('adminpanel/loginview',$data);
}

2. 修复登出方法的会话清理逻辑 #

function logout(){
    // 使用CodeIgniter封装的方法清理全部会话数据
    $this->session->sess_destroy();
    redirect('admin/login');
}

3. 修复SQL注入风险（强烈建议） #

将login_post中的原生SQL拼接替换为框架提供的查询构造器写法，自动过滤用户输入：

// 替换原有直接拼接SQL的代码
$query = $this->db->get_where('backenduser', [
    'username' => $email,
    'password' => $password
]);

内容的提问来源于stack exchange，提问作者Firdaus Rashid