PHP未登录时禁止直接访问特定页面的实现问题

嘿，我来帮你排查这个session验证的问题～你遇到的核心问题是会话销毁不彻底，加上代码里的几个小疏漏，导致销毁后还能访问check.php。咱们一步步来：

你的代码里的几个问题 #

1. destroy.php 未启动会话，销毁操作无效 #

你在destroy.php里直接调用session_unset()，但没有先执行session_start()——PHP必须先启动会话才能操作它的变量或销毁会话，所以你的销毁操作根本没生效！而且只执行session_unset()不够，它只是清空会话变量，不会销毁会话本身和客户端的会话Cookie。

2. check.php 的验证逻辑未终止脚本 #

当判断会话变量不存在时，你用header()跳转，但没有立刻终止脚本执行，后面的HTML和echo内容还是会输出到页面，同时跳转的URL里多了空格（url= index.php），可能导致跳转失效。

3. 未清除客户端的会话Cookie #

即使执行了session_destroy()，浏览器里的PHPSESSID Cookie还在，下次请求时会自动携带，PHP会重新创建一个空会话，但如果之前的会话数据没彻底清理，可能出现残留。

修正后的代码 #

1. 修正 destroy.php #

<?php
session_start(); // 必须先启动会话
// 清空会话变量
session_unset();
// 销毁会话
session_destroy();
// 清除客户端的PHPSESSID Cookie
if (isset($_COOKIE[session_name()])) {
    setcookie(session_name(), '', time() - 42000, '/');
}
// 跳转回首页
header("Location: index.php");
exit; // 终止脚本
?>

2. 修正 check.php #

<?php
session_start();
// 检查会话变量是否存在
if(!isset($_SESSION['favcolor']) || !isset($_SESSION['favanimal'])){
    echo "请先设置会话变量，即将跳转到首页...";
    header("Refresh:3; url=index.php");
    exit; // 必须终止脚本，避免输出后面的内容
}
?>
<!DOCTYPE html>
<html>
<body>
<?php
echo "Favorite color is " . $_SESSION["favcolor"] . ".<br>";
echo "Favorite animal is " . $_SESSION["favanimal"] . ".";
?>
<br>
<a href="destroy.php">unset</a>
</body>
</html>

更贴合登录场景的完整示例 #

既然你想实现“未登录禁止访问特定页面”，咱们可以模拟一个简单的登录验证系统，更贴近实际需求：

login.php（登录页面） #

<?php
session_start();
// 如果已登录直接跳转个人中心
if(isset($_SESSION['user_id'])){
    header("Location: profile.php");
    exit;
}

// 处理登录提交
if(isset($_POST['login'])){
    // 这里模拟验证账号密码，实际应该查数据库
    $username = $_POST['username'];
    $password = $_POST['password'];
    if($username === 'test' && $password === '123456'){
        // 设置登录标识会话变量
        $_SESSION['user_id'] = 1;
        $_SESSION['username'] = $username;
        header("Location: profile.php");
        exit;
    }else{
        $error = "账号或密码错误";
    }
}
?>
<!DOCTYPE html>
<html>
<body>
<h2>登录</h2>
<?php if(isset($error)) echo "<p style='color:red'>$error</p>"; ?>
<form method="post">
    <input type="text" name="username" placeholder="用户名" required><br>
    <input type="password" name="password" placeholder="密码" required><br>
    <button type="submit" name="login">登录</button>
</form>
</body>
</html>

profile.php（需要登录才能访问的页面） #

<?php
session_start();
// 验证登录状态，未登录直接跳转登录页
if(!isset($_SESSION['user_id'])){
    header("Location: login.php");
    exit;
}
?>
<!DOCTYPE html>
<html>
<body>
<h2>个人中心</h2>
<p>欢迎你，<?php echo $_SESSION['username']; ?>！</p>
<a href="logout.php">退出登录</a>
</body>
</html>

logout.php（退出登录） #

<?php
session_start();
// 清空会话变量
session_unset();
// 销毁会话
session_destroy();
// 清除会话Cookie
if (isset($_COOKIE[session_name()])) {
    setcookie(session_name(), '', time() - 42000, '/');
}
// 跳转登录页
header("Location: login.php");
exit;
?>

这个示例里，只有登录成功后才能访问profile.php，退出后无法直接输入URL访问，完全符合你的需求～

内容的提问来源于stack exchange，提问作者MJob