PHP登录功能添加IP校验后无法正常登录问题求助

现存问题列表 #

• 传参链路断裂：login.php接收了表单提交的IP参数，但未传递给User类的login方法，IP值没有进入核心校验逻辑
• 变量未定义：get_user_hash方法未声明$ip入参，方法内部使用的$ip属于未定义变量，值为空导致查询永远匹配失败
• 数组键名错误：execute方法传入的数组中IP 键名末尾多了空格，和预处理语句中的:IP不匹配，导致参数绑定失败
• 逻辑分支缺失：login方法仅在验证通过时返回true，验证失败时无返回值，上层判断逻辑异常
• 安全隐患：将IP放在前端只读表单传递，存在被恶意篡改的风险，无需前端传递，服务端直接获取更可靠

修复步骤 #

1. 优化login.php校验逻辑 #

直接在服务端获取IP，传递给login方法，可同时删除前端表单里的IP输入框，避免用户篡改：

if(isset($_POST['submit'])){
    $username = $_POST['username'];
    $password = $_POST['password'];
    // 服务端直接获取IP，不需要前端传
    $ip = get_client_ip();
    
    if($user->login($username,$password,$ip)){ 
        $_SESSION['username'] = $username;
        header('Location: memberpage.php');
        exit;
    } else {
        $error[] = '用户名、密码错误，或IP不匹配，或账号未激活。';
    }
}

2. 修改user.php逻辑 #

调整login方法入参，增加IP参数，补全返回分支

public function login($username,$password,$ip){
    $row = $this->get_user_hash($username,$ip);
    // 先判断查询结果是否存在
    if(!empty($row) && $this->password_verify($password,$row['password']) == 1){
        $_SESSION['loggedin'] = true;
        $_SESSION['username'] = $row['username'];
        $_SESSION['memberID'] = $row['memberID'];
        return true;
    }
    // 验证失败统一返回false
    return false;
}

调整get_user_hash方法，修复参数和查询逻辑

private function get_user_hash($username,$ip){
    try {
        // 先按用户名查询，再单独校验IP，可兼容未绑定IP的场景
        $stmt = $this->_db->prepare('SELECT password, username, memberID, IP FROM members WHERE username = :username');
        $stmt->execute(array('username' => $username));
        $row = $stmt->fetch();
        // 校验IP：如果数据库中该用户绑定了IP，就判断是否一致，没绑定的话跳过校验
        if(!empty($row) && !empty($row['IP']) && $row['IP'] != $ip){
            return [];
        }
        // 如果不需要兼容未绑定IP的用户，删掉上面的判断，直接在SQL里加IP匹配条件即可
        return $row;
    } catch(PDOException $e) {
        echo '<p class="bg-danger">'.$e->getMessage().'</p>';
        return [];
    }
}

验证说明 #

修改完成后，数据库中已绑定IP的用户，仅能使用对应IP登录，非绑定IP登录会触发报错；未绑定IP的用户可正常登录（无需该兼容逻辑的话，删除对应判断即可）。

内容的提问来源于stack exchange，提问作者Amanda