多客户PHP/MySQL登录系统：登录成功后切换Schema问题求助

嘿，这个多租户按Schema隔离的场景我之前帮不少开发者处理过，其实核心就是登录阶段拿到对应客户的Schema标识，之后在业务请求里正确切换到目标Schema就行。下面给你拆解具体步骤和实现细节：

一、登录阶段：获取并存储客户Schema #

首先你的登录流程是对的——先连info库验证用户身份，关键是验证成功后，要把该用户对应的客户Schema名称存到Session里（这是后续切换的核心标识）：

// 连接存储用户信息的info库
$pdo = new PDO('mysql:host=localhost;dbname=info;charset=utf8mb4', 'db_user', 'db_pass');

// 处理登录请求（记得做参数过滤）
$username = trim($_POST['username']);
$password = $_POST['password'];

// 预处理查询，安全获取用户对应的Schema
$stmt = $pdo->prepare("SELECT schema_name, password_hash FROM system_users WHERE username = ?");
$stmt->execute([$username]);
$user = $stmt->fetch(PDO::FETCH_ASSOC);

if ($user && password_verify($password, $user['password_hash'])) {
    // 登录成功，把Schema名称存入Session
    session_start();
    $_SESSION['client_schema'] = $user['schema_name'];
    
    // 这里可以直接切换到客户Schema，也可以留到后续业务页面再切换
    $pdo->exec("USE " . $pdo->quote($user['schema_name']));
    
    // 跳转到应用首页
    header('Location: dashboard.php');
    exit;
} else {
    echo "用户名或密码错误，请重试";
}

二、业务阶段：切换到客户Schema的两种方式 #

方式1：每次查询显式指定Schema #

这种方式不用切换连接的默认Schema，直接在SQL语句里带上Schema前缀，好处是避免连接复用带来的Schema串用问题：

session_start();
if (!isset($_SESSION['client_schema'])) {
    header('Location: login.html');
    exit;
}

$client_schema = $_SESSION['client_schema'];
// 先验证Schema是否在合法白名单里，防注入
$allowed_schemas = ['client_shop_01', 'client_shop_02', 'client_shop_03'];
if (!in_array($client_schema, $allowed_schemas)) {
    die("非法访问");
}

// 查询时直接指定Schema
$stmt = $pdo->query("SELECT * FROM `{$client_schema}`.user_orders");
$orders = $stmt->fetchAll(PDO::FETCH_ASSOC);

方式2：切换连接的默认Schema #

如果不想每次都写Schema前缀，可以执行USE语句切换当前连接的默认Schema，注意要在每个请求开始时都执行一次（尤其是用持久连接时，避免连接被其他请求复用导致Schema错乱）：

session_start();
if (!isset($_SESSION['client_schema'])) {
    header('Location: login.html');
    exit;
}

$client_schema = $_SESSION['client_schema'];
// 同样先做白名单验证
$allowed_schemas = ['client_shop_01', 'client_shop_02', 'client_shop_03'];
if (!in_array($client_schema, $allowed_schemas)) {
    die("非法访问");
}

// 切换到客户Schema
$pdo->exec("USE " . $pdo->quote($client_schema));

// 后续查询默认使用该Schema
$stmt = $pdo->query("SELECT * FROM user_orders");
$orders = $stmt->fetchAll(PDO::FETCH_ASSOC);

三、关键注意事项 #

• 绝对要防SQL注入：永远不要直接把Session里的Schema名拼到SQL里，要么用PDO::quote()转义，要么提前维护一个合法Schema的白名单（更安全），避免恶意构造的Schema名破坏数据库。
• 持久连接的坑：如果你的项目用了mysql_pconnect这类持久连接，一定要在每个请求开始时重新执行USE语句切换Schema，因为持久连接可能被其他用户的请求复用，导致数据串库。
• 数据库权限控制：确保你的数据库用户拥有访问所有客户Schema的权限，如果追求更高安全性，也可以为每个客户创建单独的数据库用户，但管理成本会高一些，按需选择就行。

内容的提问来源于stack exchange，提问作者Yosindrax