如何限制Moodle登录后仅可访问指定页面？

要实现“认证后仅允许访问首次请求页面，其他页面重定向至登录页”的功能，我们需要在会话初始化时记录允许访问的目标URL，并在每个页面请求时校验当前URL是否符合限制。以下是具体的修改方案：

步骤1：在登录钩子中记录允许访问的URL #

首先修改你的loginpage_hook()方法，在完成登录后，将允许访问的目标URL存储到$SESSION中，同时标记用户是通过你的插件认证的：

function loginpage_hook() {
    global $CFG, $DB, $USER, $SESSION;
    
    if ($user = $DB->get_record('user', array('id'=>$USER->id, 'suspended'=>0))) {
        complete_user_login($user);
        // 记录允许访问的唯一URL
        $allowedurl = $SESSION->wantsurl;
        unset($SESSION->wantsurl);
        
        // 存储到SESSION，用于后续校验
        $SESSION->my_auth_allowed_url = $allowedurl;
        // 标记用户是通过当前插件认证的
        $SESSION->my_auth_logged_in = true;
        
        redirect($allowedurl);
    }
    return false;
}

步骤2：添加会话校验钩子 #

Moodle的认证插件支持session_hook()方法，这个方法会在每个页面请求加载时自动触发，非常适合用来做全局的访问校验。在你的插件类中添加这个方法：

function session_hook() {
    global $SESSION, $CFG, $PAGE;
    
    // 仅对通过当前插件认证的用户生效
    if (empty($SESSION->my_auth_logged_in)) {
        return;
    }
    
    // 获取当前页面的完整URL
    $currenturl = $PAGE->url->out(false);
    
    // 排除登录页本身，避免死循环
    $loginurl = $CFG->wwwroot . '/login/index.php';
    if ($currenturl === $loginurl) {
        return;
    }
    
    // 检查当前URL是否等于允许访问的URL
    if ($currenturl !== $SESSION->my_auth_allowed_url) {
        // 清理会话标记，重定向到登录页
        unset($SESSION->my_auth_logged_in);
        unset($SESSION->my_auth_allowed_url);
        redirect($loginurl, get_string('accessdenied', 'error'), 0);
    }
}

步骤3：处理注销逻辑（可选） #

为了确保会话清理干净，你可以重写插件的logoutpage_hook()方法，在用户注销时清理自定义的SESSION变量：

function logoutpage_hook() {
    global $SESSION;
    
    unset($SESSION->my_auth_logged_in);
    unset($SESSION->my_auth_allowed_url);
}

关键说明 #

• SESSION标记的作用：通过$SESSION->my_auth_logged_in区分用户是否通过你的插件认证，避免影响其他认证方式的用户。
• URL校验逻辑：使用$PAGE->url->out(false)获取当前页面的完整URL，确保和存储的允许URL完全匹配。
• 避免死循环：排除登录页本身，防止用户被重定向到登录页后再次触发校验逻辑。

这样修改后，用户通过你的插件认证后，只能访问首次请求的目标页面，任何其他页面请求都会被重定向到登录页。

内容的提问来源于stack exchange，提问作者Arindam