PHP登录会话中如何校验用户等级并实现页面权限控制

首先来分析你原来代码里的几个核心问题，这也是导致它完全不生效的原因：

• 逻辑顺序完全颠倒：你把等级判断放在了「用户未登录」的分支里——未登录的用户根本没有$_SESSION['level']，这相当于在错误的场景下做权限判断，完全搞反了流程！正确顺序应该是：先确认用户已登录，再校验等级权限。
• 条件判断逻辑错误：$_SESSION['level'] == '0' && $_SESSION['level'] == '1' 使用了「逻辑与」，一个变量不可能同时等于0和1，这里必须换成「逻辑或」||。
• 硬编码覆盖Session等级：你直接写死$level = 2; $_SESSION['level'] = $level;，这会把用户真实的等级强制改成2，完全失去了权限控制的意义，这行必须删掉——用户等级应该是登录时从数据库读取后存入Session的，而不是在这里重新赋值。

结合你提到的「将等级存入变量并与用户名一同校验」的解决方案，下面是修正后的完整代码思路：

<?php
session_start();

// 第一步：先校验用户是否登录，未登录直接跳转登录页
if (!isset($_SESSION['username'])) {
    header("location: login/main_login.php");
    exit; // 用exit替代return，确保跳转后后续代码不再执行，避免header报错
}

// 第二步：已登录情况下，取出用户等级做权限判断
$userLevel = $_SESSION['level'];

// 根据等级分配页面权限
if ($userLevel == 0 || $userLevel == 1) {
    // 等级0、1的用户允许访问当前页面，或者跳转到指定页面page-one.php
    // 如果当前是权限校验页，需要跳转的话就打开下面两行：
    // header("location: page-one.php");
    // exit;
} elseif ($userLevel == 2) {
    // 等级2的用户跳转到page-two.php
    // header("location: page-two.php");
    // exit;
} else {
    // 处理未知等级的情况，比如跳转无权限提示页
    header("location: no-permission.php");
    exit;
}
?>

补充注意事项： #

1. 登录环节的Session存储：确保用户登录验证通过时，你已经把用户名和等级正确写入Session，比如从数据库获取后执行：

$_SESSION['username'] = $dbUsername; // 数据库读取的用户名
$_SESSION['level'] = $dbUserLevel; // 数据库读取的用户等级（建议存整数类型，避免字符串匹配的潜在问题）

2. 代码复用建议：如果多个页面都需要权限校验，可以把这段逻辑封装成一个函数，比如checkUserPermission()，然后在每个需要保护的页面顶部调用即可，减少重复代码。

内容的提问来源于stack exchange，提问作者James69