如何在登录页面实现$_SESSION与哈希登录，解决权限控制问题

Hey there! Let's tackle your two login-related questions and fix that annoying issue where logged-in users still see the login page content.

实现基于哈希密码和$_SESSION的安全登录，需要遵循几个核心步骤：

• 注册时哈希存储密码：永远不要直接存储明文密码，用户注册时必须用password_hash()生成哈希值再存入数据库：

  // 注册示例：对用户输入的密码进行哈希
  $hashed_pwd = password_hash($_POST['password'], PASSWORD_DEFAULT);
  // 将$hashed_pwd存入数据库的password字段
  

• 登录时验证哈希密码：用户提交登录表单后，从数据库取出对应账号的哈希密码，用password_verify()验证输入密码与哈希是否匹配，匹配成功则初始化SESSION：

  if (isset($_POST['submit'])) {
      include 'connessione.php';
      $email = $connessione->real_escape_string($_POST['email']);
      $password = $connessione->real_escape_string($_POST['password']);
      
      $sql = $connessione->query("SELECT id, password FROM users WHERE email = '$email'");
      if ($sql->num_rows > 0) {
          $user = $sql->fetch_assoc();
          // 验证哈希密码
          if (password_verify($password, $user['password'])) {
              // 初始化SESSION标记登录状态
              $_SESSION['user_id'] = $user['id'];
              $_SESSION['is_logged_in'] = true;
              // 登录成功后跳转到用户主页，避免停留在登录页
              header("Location: dashboard.php");
              exit();
          } else {
              $msg = "密码错误，请重试！";
          }
      } else {
          $msg = "该邮箱未注册！";
      }
  }
  

• 全局校验登录状态：在需要权限的页面顶部，先调用session_start()，再通过$_SESSION['is_logged_in']判断用户是否已登录，未登录则跳转回登录页。

从你提供的代码片段来看，问题出在两个关键位置：

1. session_start()的位置错误：session_start()必须在任何输出之前执行（包括include 'header.php'，如果header.php包含HTML输出的话），否则SESSION无法正常初始化，导致无法识别登录状态。
2. 缺少登录状态前置判断：登录页面没有在最开始检查用户是否已登录，所以即使登录成功，用户刷新页面仍会看到登录表单。

修改后的完整登录页面代码示例：

<?php
// 第一步：启动SESSION，必须放在所有输出（包括include）之前
session_start();

// 第二步：检查用户是否已登录，如果是直接跳转到主页
if (isset($_SESSION['is_logged_in']) && $_SESSION['is_logged_in'] === true) {
    header("Location: dashboard.php");
    exit();
}

$msg = "";
if (isset($_POST['submit'])) {
    include 'connessione.php';
    $email = $connessione->real_escape_string($_POST['email']);
    $password = $connessione->real_escape_string($_POST['password']);
    
    $sql = $connessione->query("SELECT id, password FROM users WHERE email = '$email'");
    if ($sql->num_rows > 0) {
        $user = $sql->fetch_assoc();
        if (password_verify($password, $user['password'])) {
            $_SESSION['user_id'] = $user['id'];
            $_SESSION['is_logged_in'] = true;
            header("Location: dashboard.php");
            exit();
        } else {
            $msg = "密码不正确！";
        }
    } else {
        $msg = "未找到该账户！";
    }
}
?>
<?php include'header.php'; ?>

<!-- 登录表单HTML -->
<div class="login-container">
    <?php if (!empty($msg)): ?>
        <p class="error-message"><?php echo $msg; ?></p>
    <?php endif; ?>
    <form method="POST" action="">
        <input type="email" name="email" placeholder="你的邮箱" required>
        <input type="password" name="password" placeholder="你的密码" required>
        <button type="submit" name="submit">登录</button>
    </form>
</div>

核心修复说明：

• 把session_start()移到代码最顶部，确保在任何HTML输出或文件引入前执行。
• 添加登录状态前置判断：如果用户已登录，直接跳转至用户主页，阻止登录表单渲染。
• 保留password_verify()的安全验证逻辑，避免明文密码比对的风险。

内容的提问来源于stack exchange，提问作者user9441754