PHP会话权限管理：如何校验用户权限等级（管理员、技术员等）

嘿，你已经搞定基础登录功能了，接下来做权限控制其实不难，咱们一步步来：

1. 先给用户表加权限字段 #

首先你的数据库users表里得有个存储角色的字段，推荐用ENUM类型来限定可选值，避免脏数据：

ALTER TABLE users ADD COLUMN role ENUM('Admin', 'Technician', 'RegularUser') NOT NULL DEFAULT 'RegularUser';

当然也可以用VARCHAR，但ENUM更严谨，只能选预设的角色值。

2. 登录成功后存储权限到Session #

登录验证通过后，把用户的角色信息存在服务端的Session里——千万别存在Cookie里，容易被篡改！比如你的登录处理脚本（比如login_process.php）可以这么写：

session_start();
// 假设你已经通过PDO/MySQLi完成了用户名密码校验，拿到了$user数据
if (password_verify($_POST['password'], $user['password'])) {
    // 存储用户核心信息到Session
    $_SESSION['user_id'] = $user['id'];
    $_SESSION['user_role'] = $user['role']; // 重点：存角色
    $_SESSION['logged_in'] = true;
    
    // 根据角色跳转到对应页面（可选）
    switch($user['role']) {
        case 'Admin':
            header("Location: admin_dashboard.php");
            break;
        case 'Technician':
            header("Location: tech_dashboard.php");
            break;
        default:
            header("Location: user_dashboard.php");
    }
    exit;
} else {
    // 登录失败，返回登录页带错误提示
    header("Location: index.php?error=wrong_creds");
    exit;
}

3. 页面级权限校验 #

比如某个页面只有管理员能访问，就在页面最开头加校验逻辑：

session_start();
// 先判断是否登录
if (!isset($_SESSION['logged_in']) || !$_SESSION['logged_in']) {
    header("Location: index.php");
    exit;
}
// 再校验角色
if ($_SESSION['user_role'] !== 'Admin') {
    echo "<h3>权限不足：你没有访问此页面的权限！</h3>";
    exit; // 终止页面加载
}
// 下面是页面正常内容

4. 页面内功能级权限控制 #

如果页面里有部分功能（比如按钮、表单）只有特定角色能看到，用PHP条件判断包裹即可：

<!-- 普通用户看不到维修处理按钮，技术员和管理员能看到 -->
<?php if ($_SESSION['user_role'] === 'Technician' || $_SESSION['user_role'] === 'Admin'): ?>
    <button id="handle-repair">处理维修工单</button>
<?php endif; ?>

<!-- 只有管理员能看到用户管理入口 -->
<?php if ($_SESSION['user_role'] === 'Admin'): ?>
    <a href="user_management.php">用户管理</a>
<?php endif; ?>

5. 封装成复用函数（进阶） #

如果很多页面都要做权限校验，把逻辑封装成函数放在公共文件（比如utils.php）里，避免重复代码：

function checkPermission($requiredRole) {
    session_start();
    // 未登录直接跳登录页
    if (!isset($_SESSION['logged_in']) || !$_SESSION['logged_in']) {
        header("Location: index.php");
        exit;
    }
    // 管理员默认拥有所有权限
    if ($_SESSION['user_role'] === 'Admin') {
        return true;
    }
    // 校验是否匹配所需角色
    if ($_SESSION['user_role'] !== $requiredRole) {
        die("权限不足，请联系管理员");
    }
    return true;
}

然后在需要校验的页面开头调用：

require_once 'utils.php';
// 只有技术员能访问此页面
checkPermission('Technician');

安全小提醒 #

• 永远不要信任客户端传来的权限信息，所有校验都要在服务端做
• 数据库查询用预处理语句，防止SQL注入
• 如果以后权限需求更复杂（比如多个权限组合），可以考虑RBAC（基于角色的访问控制）模型，用角色表、权限表、角色权限关联表来实现更灵活的控制

内容的提问来源于stack exchange，提问作者FlyingArowana