PHP后台会话控制异常：登录系统管理员页面权限控制失效问题

看起来你已经搞定了基础的登录验证，但在管理员页面的权限区分上卡壳了对吧？别担心，咱们一步步来解决这个问题。你的通用会话保护代码只做了「是否登录」的校验，没涉及用户等级的判断，所以管理员页面需要在登录校验的基础上，额外加一层管理员权限验证。

第一步：确保登录时存储用户权限信息 #

在你的登录处理逻辑里（比如login_process.php），验证用户账号密码正确后，需要从数据库中取出用户的权限标识（比如is_admin字段，或者user_role字段），并把它存入会话中。示例代码如下：

// 假设你已经通过数据库查询到了合法用户的信息
$validUser = [
    'username' => 'admin_user',
    'is_admin' => true // 数据库中该字段为布尔值，或者枚举类型如'admin'/'user'
];

// 初始化会话并存储必要信息
session_start();
session_regenerate_id(true); // 可选，但能提升会话安全性，防止劫持
$_SESSION['username'] = $validUser['username'];
$_SESSION['is_admin'] = $validUser['is_admin']; // 关键：存储管理员标识

// 根据权限跳转
if ($validUser['is_admin']) {
    header("Location: admin/index.php");
} else {
    header("Location: index.php");
}
exit;

第二步：修改管理员页面的会话控制代码 #

在admin/index.php的最顶部，替换原有的代码为以下内容——先验证是否登录，再验证是否为管理员：

session_start();

// 1. 校验用户是否已登录
if (!isset($_SESSION['username']) || empty($_SESSION['username'])) {
    header("Location: ../login.php"); // 注意路径，根据你的文件结构调整
    exit;
}

// 2. 校验用户是否为管理员
if (!isset($_SESSION['is_admin']) || $_SESSION['is_admin'] !== true) {
    // 如果不是管理员，跳转到普通用户页面或无权限提示页
    header("Location: ../index.php");
    exit;
}

如果你的数据库中用的是角色名称（比如user_role字段值为'admin'或'user'），只需把第二步的判断改成：

if (!isset($_SESSION['user_role']) || $_SESSION['user_role'] !== 'admin') {
    header("Location: ../index.php");
    exit;
}

额外注意事项 #

• 确保数据库中的用户权限字段设置正确（比如用tinyint(1)存储布尔值，或varchar存储角色名）。
• 不要在会话中存储敏感信息（比如用户密码），只存必要的标识即可。
• 可以考虑给管理员页面单独设置无权限提示页，提升用户体验，而不是直接跳转到首页。

内容的提问来源于stack exchange，提问作者user1805543