原生PHP中如何阻止卖家角色访问呼叫者模块？

嘿，这个问题太典型了——就是权限校验没落到实处，导致用户能靠改URL越权访问！咱们原生PHP完全能搞定这个，给你几个实用的方案，一步步堵上这个漏洞：

记住一个原则：前端/URL都是不可信的，必须在每个受保护模块的入口，从服务器端的可靠来源（会话或数据库）验证用户角色，不符合就直接拦截。

1. 基础方案：会话存储角色+模块入口校验 #

首先，用户登录成功后，把他的角色存到Session里（别只存用户ID，要直接存角色或者后续能快速拿到角色的标识）：

// 登录成功时的代码片段
session_start();
// 假设从数据库查到的用户数据存在$user变量里
$_SESSION['user_role'] = $user['type']; // 这里type就是caller/seller/admin
$_SESSION['user_id'] = $user['id']; // 存个用户ID方便后续扩展

然后，在caller/index.php和seller/index.php这些模块的最开头，加上校验逻辑：

呼叫者模块（caller/index.php）的校验： #

// 先开启会话（如果当前页面还没开的话）
session_start();

// 两步校验：1. 是否登录；2. 角色是否为caller
if (!isset($_SESSION['user_role']) || $_SESSION['user_role'] !== 'caller') {
    // 无权限的处理：可以跳回登录页，或者显示403提示
    header("Location: /login.php");
    exit; // 一定要加exit，防止后续代码继续执行
}

// 下面才是模块的正常业务代码

卖家模块（seller/index.php）的校验： #

session_start();
if (!isset($_SESSION['user_role']) || $_SESSION['user_role'] !== 'seller') {
    header("Location: /login.php");
    exit;
}

2. 进阶方案：封装校验函数，避免重复代码 #

如果模块多了，每个页面都写一遍校验太麻烦，咱们可以把校验逻辑封装成公共函数：

1. 新建一个auth.php文件，放权限校验函数：

function checkAllowedRoles($allowedRoles) {
    session_start();
    
    // 先检查是否已登录
    if (!isset($_SESSION['user_id']) || !isset($_SESSION['user_role'])) {
        header("Location: /login.php");
        exit;
    }
    
    // 检查当前角色是否在允许的列表里
    if (!in_array($_SESSION['user_role'], $allowedRoles)) {
        // 这里可以跳转到自定义的403页面，或者直接提示
        echo "<h1>权限不足！你无法访问该模块</h1>";
        exit;
    }
}

2. 然后在每个模块的开头引入并调用：

• 呼叫者模块：

require_once '../auth.php'; // 根据实际路径调整
checkAllowedRoles(['caller']);

• 卖家模块：

require_once '../auth.php';
checkAllowedRoles(['seller']);

• 管理员模块（如果有的话）：

require_once '../auth.php';
checkAllowedRoles(['admin']);

3. 额外安全增强建议 #

• 实时校验角色（可选）：如果用户的角色可能在后台被修改（比如管理员把卖家改成了呼叫者），可以每次校验时从数据库重新拉取角色，而不是只依赖Session：

// 修改checkAllowedRoles函数，加入数据库查询
function checkAllowedRoles($allowedRoles) {
    session_start();
    if (!isset($_SESSION['user_id'])) {
        header("Location: /login.php");
        exit;
    }
    
    // 假设你用PDO连接数据库，$pdo是数据库连接实例
    $stmt = $pdo->prepare("SELECT type FROM users WHERE id = ?");
    $stmt->execute([$_SESSION['user_id']]);
    $user = $stmt->fetch(PDO::FETCH_ASSOC);
    
    if (!$user || !in_array($user['type'], $allowedRoles)) {
        echo "权限不足！";
        exit;
    }
    
    // 可以把最新角色更新回Session，减少下次查询
    $_SESSION['user_role'] = $user['type'];
}

• 强化Session安全性：设置Session的安全属性，防止会话劫持或XSS窃取：

// 在session_start()之前设置
session_set_cookie_params([
    'lifetime' => 3600, // 会话有效期1小时
    'path' => '/',
    'domain' => 'example.com', // 你的域名
    'secure' => true, // 只在HTTPS下传输Cookie
    'httponly' => true, // 禁止JS访问Cookie，防XSS
    'samesite' => 'Strict' // 防止CSRF
]);
session_start();

内容的提问来源于stack exchange，提问作者user9186735