PHP站点后台开发：登录需两次提交才能成功生效的问题排查求助

正在开发站点后台管理模块、同步学习PHP技术过程中，发现登录脚本存在明确异常：必须在登录页连续执行两次登录提交操作，才能成功完成鉴权进入后台，需定位代码错误或遗漏的配置问题。 #

现有代码片段 #

登录提交页（含POST处理逻辑） #

<?php
if(isset($_POST['submit']))
{
    include('common.php');

    $username = trim($_POST['username']);
    $password = trim($_POST['password']);

    if($sqlquery = $conn->prepare("SELECT userID FROM user WHERE username = ? AND password = ?"))
    {
        $sqlquery->bind_param("ss", $username, $password);
        $sqlquery->execute();
        $sqlquery->store_result();
        $count = $sqlquery->num_rows;

        if($count > 0)
        {
            $sqlquery->bind_result($userid);
            $sqlquery->fetch();
            $_SESSION['currentUserID'] = $userid;
            echo "<META http-equiv='refresh' content='0;URL=http://www.whatever.com/newPage.php'>";
        }
        else
        {
            echo "Wrong Username or Password";
        }
    }
}

公共配置文件 common.php（含数据库连接、全局基础配置） #

<?php
$db_server = "localhost";
$db_name = "something";
$db_username = "something";
$db_password = "something";

$conn = mysqli_connect($db_server, $db_username, $db_password, $db_name );

if (session_status() == PHP_SESSION_NONE) {
    ini_set('session.save_path',realpath(dirname($_SERVER['DOCUMENT_ROOT']) . '/session'));
    session_start();
    //echo "new session started user id: ".$_SESSION['currentUserID'];
}

if (!$conn)
{
    print "Could not connect." ;
    exit;
}

核心故障定位 #

问题根源在于公共配置文件的引入时机不合理：
当前代码把include('common.php')逻辑写在了POST请求的判断分支内部，完整执行链路为：

1. 用户首次打开登录页面时，没有POST请求触发，脚本不会进入判断分支，自然不会引入公共配置文件，也就不会执行session_start()下发会话Cookie
2. 第一次提交登录操作时，脚本才临时引入公共配置、启动会话：此时PHP会在当前响应中下发全新的会话Cookie，同时把登录态写入服务端会话存储，随即通过meta标签触发页面跳转
3. 跳转请求发出的瞬间，浏览器还未完成新会话Cookie的存储与附带，跳转后的页面无法识别登录状态，鉴权直接失败
4. 第二次提交登录时，浏览器已经持有了第一次响应下发的会话Cookie，请求能正常匹配到服务端存储的登录态，鉴权才会生效，最终表现为必须两次登录才能成功。

可落地的修复方向 #

• 将include('common.php')逻辑移到登录页的最顶部，脱离POST判断分支的包裹，保证页面无论是否有POST请求，都会优先执行会话初始化、数据库连接逻辑，让用户首次打开登录页时，PHP就完成会话Cookie下发，后续提交登录、跳转流程都能正常携带会话标识。
• 补充校验自定义session存储目录的存在性与可写权限：当前代码手动指定网站根目录下的/session文件夹作为会话存储路径，如果该目录不存在、或无写入权限，会导致会话数据无法持久化，同样会出现登录态无法保存的异常。
• 会话登录态赋值完成后，调用session_write_close()强制刷入会话数据，避免脚本执行过程中会话缓冲区未及时落盘，导致跳转后读不到最新的会话值。
• 登录成功的跳转逻辑可以替换为更规范的header("Location: /newPage.php"); exit;，避免meta跳转带来的响应头时序问题。

内容的提问来源于stack exchange，提问作者HelloItsMe