PHP添加用户角色方法及登录角色跳转异常问题求助

嘿，我来帮你搞定这两个问题——用户角色添加和登录后角色跳转的bug～

一、先修复登录重定向的bug #

你的现有代码有几个关键错误，导致不管用户是普通用户还是管理员，都会跳转到同一个页面：

1. SQL语法错误：查询字段时用了单引号'id'、'staffno'，这会让MySQL把这些当成字符串常量，而不是字段名，应该用反引号`或者直接省略（如果字段名不是MySQL关键字的话）。
2. 角色查询逻辑完全错了：你现在查的是所有用户的role，而不是当前登录用户的，还直接硬把$_SESSION['role']设为admin，这肯定会导致所有人都跳转到管理员页面。
3. 密码哈希不安全：md5已经被广泛破解，建议换成PHP自带的password_hash()和password_verify()来处理密码。

修复后的完整登录代码：

<?php
session_start(); // 必须开启会话，否则SESSION变量无法使用！
if (isset($_POST['Login'])) {
    $username = $_POST['username'];
    $password = $_POST['surname']; // 这里注意：你的密码字段是surname？确认下数据库里的字段名是否正确

    if (!empty($username) && !empty($password)) {
        // 用预处理语句防止SQL注入，这非常重要！
        $query = "SELECT id, role, password FROM users WHERE staffno = ?";
        $stmt = mysqli_prepare($conn, $query);
        mysqli_stmt_bind_param($stmt, "s", $username);
        mysqli_stmt_execute($stmt);
        $result = mysqli_stmt_get_result($stmt);
        $user = mysqli_fetch_assoc($result);

        if ($user) {
            // 验证密码：如果数据库里存的是md5哈希，先这么用；新系统一定要换成password_verify！
            if (md5($password) === $user['password']) {
                // 把当前登录用户的实际角色存入会话
                $_SESSION['role'] = $user['role'];
                $_SESSION['user_id'] = $user['id']; // 顺便存用户ID，方便后续操作

                // 根据角色跳转
                if ($_SESSION['role'] === "admin") {
                    header("Location: Upload.php");
                    exit; // 跳转后必须exit，防止后续代码继续执行
                } else {
                    header("Location: Home.php");
                    exit;
                }
            } else {
                echo "密码错误，请重试！";
            }
        } else {
            echo "该用户不存在！";
        }
    } else {
        echo "用户名和密码不能为空！";
    }
}
?>

二、PHP中实现用户角色添加 #

要完整实现用户角色管理，需要从数据库到PHP代码配合操作：

1. 数据库准备 #

首先确保你的users表有role字段，如果没有，执行下面的SQL语句添加：

ALTER TABLE users ADD COLUMN role VARCHAR(20) NOT NULL DEFAULT 'user';
-- 常见角色值可以设为：user（普通用户）、admin（管理员）、editor（内容编辑）等，按需定义

2. 添加用户时指定角色 #

不管是用户注册还是后台添加用户，都可以给角色字段赋值，示例代码：

// 示例：后台添加管理员用户（用预处理语句防注入）
$new_username = "admin_user";
$new_password = "admin_pass";
$new_role = "admin";

// 推荐用password_hash生成安全的密码哈希
$hashed_password = password_hash($new_password, PASSWORD_DEFAULT);

$query = "INSERT INTO users (staffno, password, role) VALUES (?, ?, ?)";
$stmt = mysqli_prepare($conn, $query);
mysqli_stmt_bind_param($stmt, "sss", $new_username, $hashed_password, $new_role);
if (mysqli_stmt_execute($stmt)) {
    echo "管理员用户添加成功！";
} else {
    echo "添加失败：" . mysqli_error($conn);
}

3. 页面权限验证 #

在需要权限的页面（比如管理员专属的Upload.php），要先验证用户角色，防止未授权访问：

<?php
session_start();
// 检查用户是否登录，且角色是admin
if (!isset($_SESSION['role']) || $_SESSION['role'] !== "admin") {
    header("Location: Login.php");
    exit;
}
// 下面是管理员页面的内容
?>

额外提醒 #

• SQL注入防护：永远不要直接把用户输入拼到SQL语句里，预处理语句是最有效的防护方式，你的原代码有严重的注入风险！
• 密码安全：尽快把md5替换成password_hash()和password_verify()，这是PHP官方推荐的安全密码处理方式。
• 会话安全：可以设置会话的安全属性，比如session_set_cookie_params()来防止会话劫持，提升整体安全性。

内容的提问来源于stack exchange，提问作者dMd