线上Web应用登出异常排查：本地正常线上跳转异常

嘿，我来帮你搞定这个登出后又跳回admin页的bug！本地测试正常但服务器出问题，大概率是session销毁不彻底加上代码逻辑的小漏洞，咱们一步步修复：

问题根源分析 #

你当前的代码里，登出时只把$_SESSION['log']设为false并unset，但没有彻底销毁整个session——服务器上的session文件可能还留着，导致下一次请求又读取到旧的登录状态，就自动跳回admin页了。另外，逻辑顺序也有点问题，登出处理被放在了权限判断之后，容易被其他逻辑干扰。

修复后的完整index.php代码 #

<?php
header('Access-Control-Allow-Origin: *');
session_start();

// 先处理登出请求：优先执行，避免被其他逻辑干扰
$logout = isset($_GET['logout']) ? strip_tags($_GET['logout']) : false;
if ($logout === 'logout') {
    // 彻底清空session数据
    $_SESSION = array();
    
    // 清除session对应的cookie（如果启用了cookie存储session）
    if (ini_get("session.use_cookies")) {
        $cookieParams = session_get_cookie_params();
        setcookie(session_name(), '', time() - 42000,
            $cookieParams["path"], $cookieParams["domain"],
            $cookieParams["secure"], $cookieParams["httponly"]
        );
    }
    
    // 销毁服务器端的session文件
    session_destroy();
    
    // 强制跳转到首页（登录页），并终止脚本执行
    header("Location: index.php");
    exit;
}

// 处理登录请求
$login = isset($_POST['login']) ? strip_tags($_POST['login']) : false;
$email = isset($_POST['email']) ? strip_tags($_POST['email']) : false;
$url = isset($_POST['url']) ? strip_tags($_POST['url']) : false;
$id = isset($_POST['id']) ? strip_tags($_POST['id']) : false;

if ($login && $email && $id) {
    $_SESSION['log'] = true;
    $_SESSION['login'] = $login;
    $_SESSION['email'] = $email;
    $_SESSION['url'] = $url;
    $_SESSION['id'] = $id;
    
    // 登录成功后跳转到首页（admin页）
    header("Location: index.php");
    exit;
}

// 权限校验：未登录则显示登录页，否则显示admin页
if (empty($_SESSION['log'])) {
    include('login.php');
} else {
    include('admin.php');
}
?>

关键修复点详解 #

• 优先处理登出逻辑：把登出判断放在最开头，确保触发登出时立刻执行销毁操作，不会被后续的登录或权限判断干扰
• 彻底销毁session：不仅清空$_SESSION数组，还清除浏览器端的session cookie，调用session_destroy()删掉服务器上的session文件，从根源上清除登录状态
• 添加跳转与终止：处理完登录/登出后用header("Location: index.php")跳转，再用exit终止脚本，避免后续代码继续运行导致意外重定向
• 简化权限判断：去掉冗余的$_SESSION['log'] = false，直接用empty($_SESSION['log'])判断是否登录，逻辑更清晰

服务器端额外检查项 #

如果修改后还是有问题，再检查这几点：

• session目录权限：确认服务器上session存储目录（一般是/var/lib/php/sessions/）给web服务器用户（比如www-data）开了读写权限
• 浏览器缓存：让用户清空浏览器缓存，或者在login.php和admin.php的<head>里加禁止缓存的代码：

<meta http-equiv="Cache-Control" content="no-cache, no-store, must-revalidate" />
<meta http-equiv="Pragma" content="no-cache" />
<meta http-equiv="Expires" content="0" />

• HTTPS配置：如果服务器用了HTTPS，确保php.ini里的session.cookie_secure设为On，保证session cookie只在HTTPS请求中传输，避免清除失败

这样修改后，登出就能正常停留在登录页，登录后也能正确进入admin页啦！

内容的提问来源于stack exchange，提问作者kunass2