如何用PHP实现仅登录用户可访问HTML页面？

嗨，这个问题我之前帮不少开发者解决过，核心就是要让你的HTML页面能触发PHP的登录状态检查，我给你几个实用的方案，从最简单的开始：

这是最快的解决办法，不用折腾服务器配置。你只需要把目标HTML文件的后缀从.html改成.php，然后在文件最顶部加上PHP的登录检查代码就行。

比如，把secret-page.html改成secret-page.php，然后在文件第一行加：

<?php
session_start();
// 假设你登录时给session设置了logged_in标记
if (!isset($_SESSION['logged_in']) || $_SESSION['logged_in'] !== true) {
    // 未登录的话跳转到登录页，替换成你的实际登录URL
    header('Location: login.php');
    exit;
}
?>
<!-- 下面是原来的HTML内容 -->
<!DOCTYPE html>
<html>
<head>...</head>
<body>...</body>
</html>

这样不管用户直接输URL还是从其他地方跳转过来，都会先经过PHP的登录检查，未登录状态会直接被跳转到登录页。

如果你不想修改文件后缀，那需要让服务器把.html文件当成PHP来处理。先解决你找不到.htaccess的问题：

• 在FileZilla里，默认隐藏文件是不显示的。你可以点击顶部菜单栏的「服务器」→「强制显示隐藏文件」，这样就能看到.htaccess了（如果服务器上已经存在的话）。如果没有，直接新建一个名为.htaccess的文件就行（注意文件名开头的点不能丢）。

然后在.htaccess里添加下面的代码（针对Apache服务器）：

# 让HTML/HTM文件解析PHP代码
AddHandler application/x-httpd-php .html .htm

如果你的服务器用的是PHP-FPM，可能需要换成这个写法（记得替换成你服务器实际的PHP版本路径）：

<FilesMatch "\.(html|htm)$">
    SetHandler "proxy:unix:/run/php/php7.4-fpm.sock|fcgi://localhost"
</FilesMatch>

配置完成后，你就可以在.html文件顶部加方案1里的PHP登录检查代码，效果和改后缀完全一致。

如果有大量HTML页面需要保护，不想一个个修改文件或加代码，可以做一个统一的权限校验入口。比如创建一个protected.php文件：

<?php
session_start();
// 登录状态校验
if (!isset($_SESSION['logged_in']) || $_SESSION['logged_in'] !== true) {
    header('Location: login.php');
    exit;
}

// 校验要访问的页面是否合法，防止目录遍历攻击
$page = $_GET['page'] ?? 'home';
$allowed_pages = ['secret1', 'secret2', 'dashboard']; // 允许访问的HTML文件名（不带后缀）
if (!in_array($page, $allowed_pages)) {
    header('HTTP/1.1 403 Forbidden');
    echo 'Access Denied';
    exit;
}

// 输出对应的HTML内容
include "$page.html";
?>

之后用户访问受保护页面时，需要通过protected.php?page=secret1的形式打开secret1.html，所有页面的权限校验都由这个入口统一处理，不用修改原HTML文件。

最后提醒一句：不管用哪个方案，一定要确保登录逻辑的安全性——比如登录时用password_hash()存储密码，不要明文；给session设置httponly和secure参数，防止会话劫持。

内容的提问来源于stack exchange，提问作者Omar Dajani