如何修正PHP登录表单代码，实现无匹配凭证时页面跳转

你的代码现在有几个关键问题导致跳转逻辑异常，我来一步步帮你梳理和修复：

原代码的核心问题 #

• 循环内错误的跳转触发：你在循环每一条用户数据时，只要当前行不匹配就立刻跳转，这意味着只要数据库里有一个用户和输入不匹配，就会直接跳转到失败页面，根本等不到检查到正确的用户那一行。
• 匹配成功后未终止流程：就算找到了匹配的用户，你设置session后没有终止循环或脚本执行，后续的循环迭代还是会触发不匹配的判断，导致覆盖之前的跳转指令。
• 查询效率极低且不安全：一次性查询所有用户数据到内存中循环比对，不仅浪费资源，而且直接明文存储/比对密码是严重的安全漏洞。

修复后的代码（包含安全优化） #

首先，先修改你的数据库查询逻辑，直接通过SQL筛选目标用户名，然后再验证密码（这里我加入了密码哈希的安全处理，这是必须的！）：

<?php
session_start();
include_once 'includes/dbh.php';

// 先检查POST数据是否存在，避免未定义索引错误
if (!isset($_POST['u_name'], $_POST['pwd'])) {
    header("Location: index.php?error=missingFields");
    exit();
}

$username = $_POST['u_name'];
$password = $_POST['pwd'];

// 只查询目标用户名的记录，而不是所有用户
$sql = "SELECT * FROM users WHERE username = ?;";
// 使用预处理语句防止SQL注入
$stmt = mysqli_prepare($conn, $sql);
mysqli_stmt_bind_param($stmt, "s", $username);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
$user = mysqli_fetch_assoc($result);

// 检查是否找到用户，并验证密码（假设你已经用password_hash存储密码）
if ($user && password_verify($password, $user['password'])) {
    $_SESSION['username'] = $username;
    header("Location: second_index.php?signinSuccessful");
    exit(); // 跳转后必须终止脚本执行
} else {
    // 没有匹配的用户或密码错误，跳转失败页面
    header("Location: index.php?NotSuccessful");
    exit();
}
?>

关键优化点解释 #

1. 预处理语句防注入：用mysqli_prepare绑定参数，避免SQL注入攻击，这是处理用户输入的基本安全要求。
2. 密码哈希验证：永远不要明文存储密码！如果你的数据库里现在是明文密码，先把现有密码用password_hash重新存储，后续注册新用户时也要用这个函数加密。
3. 流程控制：找到匹配用户后立刻exit()终止脚本，避免后续代码执行；所有跳转后都要加exit()，确保浏览器能正确执行跳转。
4. 输入检查：先判断POST参数是否存在，避免出现Undefined index的错误。

针对你原逻辑的兼容修复（如果暂时不想改密码哈希） #

如果你暂时还没处理密码哈希，只是想先修复跳转逻辑，也可以这样改（但强烈建议尽快升级密码存储方式）：

<?php
session_start();
include_once 'includes/dbh.php';

if (!isset($_POST['u_name'], $_POST['pwd'])) {
    header("Location: index.php?error=missingFields");
    exit();
}

$username = $_POST['u_name'];
$password = $_POST['pwd'];
$foundMatch = false;

$sql = "SELECT * FROM users WHERE username = ?;";
$stmt = mysqli_prepare($conn, $sql);
mysqli_stmt_bind_param($stmt, "s", $username);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);

while ($row = mysqli_fetch_assoc($result)) {
    if ($username == $row['username'] && $password == $row['password']) {
        $_SESSION['username'] = $username;
        $foundMatch = true;
        break; // 找到匹配后立刻终止循环
    }
}

// 循环结束后再判断是否匹配
if ($foundMatch) {
    header("Location: second_index.php?signinSuccessful");
} else {
    header("Location: index.php?NotSuccessful");
}
exit();
?>

这个版本的核心是：先循环查找是否有匹配的用户，用一个变量标记是否找到，循环结束后再根据标记执行跳转，而不是在循环内随便触发跳转。

内容的提问来源于stack exchange，提问作者Alexander Rayner