PHP实现ID与Session ID不匹配时页面重定向（度假套餐后台场景）

背景描述 #

我正在开发一个度假套餐管理后台项目，旅行代理商注册后可通过仪表盘提交套餐。代理商数据存储在agent_register表，套餐数据存储在holidays表。目前已实现代理商登录后台后仅展示自身提交的套餐，现有代码片段如下：

<?php 
$agent = $session['id']; 
$sql = "select * from holidays where agent_id = $agent"; 
$i = 1; 
$res = $mysqli->query($sql); 
if( mysqli_num_rows($res) > 0) { 
    while($row = mysqli_fetch_array($res)){
        // 展示套餐内容
    }
}
?>

现在需要解决的是：当页面对应的资源ID（比如某套餐所属的代理商ID）与Session中存储的当前登录代理商ID不匹配时，如何实现页面重定向？

解决方案 #

要实现这个需求，核心是先完成身份验证与权限校验，再决定是否重定向，同时要注意PHP重定向的规则和安全问题，具体步骤如下：

1. 基础校验：确保Session有效

首先要在页面最顶部启动Session，并检查当前是否有登录的代理商ID，没有的话直接跳转到登录页：

// 必须在任何输出（包括空格、HTML）之前启动Session
session_start();

// 检查Session中是否存在代理商ID，不存在则跳转到登录页
if (!isset($_SESSION['id'])) {
    header("Location: login.php");
    exit; // 重定向后一定要终止脚本，避免后续代码执行
}

$current_agent_id = $_SESSION['id'];

2. 获取待校验的资源ID并查询归属

假设你要校验的是某个套餐的权限（比如从URL参数获取套餐ID），先查询该套餐所属的代理商ID：

注意：这里一定要用预处理语句替代原代码的SQL拼接，防止SQL注入攻击！

// 从URL获取套餐ID（假设参数名为holiday_id）
if (!isset($_GET['holiday_id'])) {
    // 没有传入套餐ID，跳回仪表盘
    header("Location: dashboard.php");
    exit;
}

$holiday_id = $_GET['holiday_id'];

// 使用预处理语句查询套餐所属的代理商ID
$sql = "SELECT agent_id FROM holidays WHERE id = ?";
$stmt = $mysqli->prepare($sql);
$stmt->bind_param("i", $holiday_id); // "i"表示参数为整数类型
$stmt->execute();
$stmt->bind_result($target_agent_id);
$stmt->fetch();
$stmt->close();

3. 对比ID并执行重定向

将查询到的套餐所属代理商ID，与当前Session中的代理商ID对比，不匹配则重定向：

if ($target_agent_id != $current_agent_id) {
    // 权限不匹配，跳回仪表盘并携带错误提示参数
    header("Location: dashboard.php?error=unauthorized_access");
    exit;
}

// 如果匹配，继续执行页面后续逻辑（比如展示套餐详情、编辑表单等）

关键注意事项 #

• 输出前调用header()：header()函数必须在任何HTML输出、空格甚至空行之前调用，否则会触发"headers already sent"错误。
• 终止脚本执行：调用header()后一定要加exit或die()，否则脚本会继续执行后续代码，可能导致重定向失效或敏感信息泄露。
• 安全优化：原代码直接将Session ID拼接进SQL的做法存在严重的SQL注入风险，务必使用预处理语句来处理数据库查询。
• 友好提示：重定向时可以携带错误参数（比如?error=unauthorized_access），在目标页面通过$_GET['error']判断并展示对应的提示信息，提升用户体验。
• HTTP状态码：如果是无权限访问，也可以先发送403禁止访问的状态码再重定向：

  header("HTTP/1.1 403 Forbidden");
  header("Location: 403.php");
  exit;
  

内容的提问来源于stack exchange，提问作者Mahmood Mohammed