MySQL+PHP登录功能异常排查：配置正确却无法登录

我帮你定位到了几个关键问题，正是这些问题导致登录验证失败：

1. SQL语句的语法错误 #

你在SQL查询里用了单引号包裹表名和字段名：

SELECT 'user_id' FROM 'users' WHERE 'email' = :email AND 'password' = :password

在MySQL中，**表名和字段名需要用反引号（）包裹**，或者如果没有关键字冲突可以直接不用。单引号是用来包裹字符串值的，这里会把user_id`当成字符串字面量，而不是字段名，导致查询逻辑完全错误。

2. 密码绑定的逻辑混乱 #

在login方法里，你重复绑定了:password参数，而且其中一行代码的参数使用错误：

// 错误的代码段
$stmt->bindParam(":password", md5($password), PDO::PARAM_STR);
$password = md5($_POST['password'], PDO::PARAM_STR); // md5的第二个参数是原始输出开关，不是PDO参数！
$stmt->bindParam(':password',$password);

• md5()函数的第二个参数是布尔值（是否返回原始二进制数据），你错误地传入了PDO::PARAM_STR，这会导致MD5加密结果异常。
• 重复绑定:password会覆盖之前的绑定，但更关键的是，你应该使用传入的$password参数，而不是直接取$_POST['password']（破坏了方法的封装性）。

3. 可选优化：输入处理的细节 #

checkInput函数里的htmlspecialchars建议指定编码（比如UTF-8），避免潜在的编码问题：

$var = htmlspecialchars($var, ENT_QUOTES, 'UTF-8');

修正后的users.php代码 #

<?php 
class User { 
    protected $pdo; 

    function __construct($pdo){ 
        $this->pdo = $pdo; 
    } 

    public function checkInput($var){ 
        $var = htmlspecialchars($var, ENT_QUOTES, 'UTF-8');
        $var = trim($var); 
        $var = stripcslashes($var); 
        return $var; 
    } 

    public function login($email, $password){ 
        // 修正SQL的反引号使用
        $stmt = $this->pdo->prepare("SELECT `user_id` FROM `users` WHERE `email` = :email AND `password` = :password"); 
        $stmt->bindParam(":email", $email, PDO::PARAM_STR); 
        
        // 正确处理密码加密与绑定
        $hashedPassword = md5($password);
        $stmt->bindParam(':password', $hashedPassword, PDO::PARAM_STR); 
        
        $stmt->execute(); 
        $user = $stmt->fetch(PDO::FETCH_OBJ); 
        $count = $stmt->rowCount(); 

        if($count > 0){ 
            $_SESSION['user_id'] = $user->user_id; 
            header('Location: home.php');
            exit; // 跳转后记得终止脚本执行，避免后续代码干扰
        }else{ 
            return false; 
        } 
    } 
} 
?>

额外注意事项 #

• 确保你数据库中存储的密码确实是MD5加密后的字符串，和你代码里的加密方式一致。
• 在login.php中，你的条件判断if(!empty($email) or !empty($password))逻辑有问题，应该是&&（并且），否则只要其中一个不为空就会继续执行，改成：

  if(!empty($email) && !empty($password)){
  

内容的提问来源于stack exchange，提问作者r.kuypers