多角色（管理员/教师/学生）项目权限控制问题求助

嘿，我完全懂你现在遇到的痛点——只验证用户是否登录远远不够，得同时校验用户的角色权限，不然只要会话没销毁，任何人都能直接跳去管理员页面。给你一套落地性很强的PHP权限控制方案，都是实际项目里常用的做法：

第一步：登录时把角色信息存入Session #

用户登录验证通过后，除了存储username到Session，还要把用户的角色标识（比如admin、teacher、student）也存进去。比如你的登录处理脚本可以这么写：

session_start();
// 假设你已经通过数据库验证了用户名密码，并且拿到了用户的role字段
$_SESSION["username"] = $username;
$_SESSION["role"] = $role; // 这里的$role是从数据库取出的角色值，比如"admin"

第二步：给每个角色目录加统一的权限校验脚本 #

为了避免在每个页面重复写验证代码，你可以在admin/、teacher/、student/三个目录里各放一个auth.php，专门做权限校验，之后每个页面都引入这个脚本就行。

举个例子，admin/auth.php的内容：

session_start();
// 先检查是否已登录
if(!isset($_SESSION["username"])){
    header("location: ../index.php?action=login");
    exit; // 一定要加exit，防止跳转后代码继续执行
}
// 再校验角色是否为管理员
if($_SESSION["role"] !== "admin"){
    // 角色不匹配时，跳转到对应用户的首页，或者登录页
    switch($_SESSION["role"]){
        case "teacher":
            header("location: ../teacher/index.php");
            break;
        case "student":
            header("location: ../student/index.php");
            break;
        default:
            header("location: ../index.php?action=login");
    }
    exit;
}

同理，teacher/auth.php里把角色校验改成$_SESSION["role"] !== "teacher"，student/auth.php改成$_SESSION["role"] !== "student"就好。

第三步：在每个角色页面引入校验脚本 #

比如admin/dashboard.php的开头，要加上：

require_once 'auth.php';

这样每个页面加载时都会先跑权限校验，不符合条件的用户会直接被跳转，无法访问不属于自己权限的内容。

额外的安全小贴士 #

• 永远要在header()跳转后加exit;或die();，不然浏览器跳转前，后续的敏感代码可能还是会被执行，存在安全漏洞。
• 不要依赖前端的跳转限制，服务器端的校验才是安全的核心，前端的任何限制都能被轻易绕过。
• 如果有敏感操作（比如修改数据、删除内容），除了页面访问权限，还要单独校验操作权限，确保万无一失。

这样改完之后，就算用户直接在地址栏输入管理员页面的URL，只要他的Session角色不是admin，就会被自动跳转到自己对应的页面，彻底解决越权访问的问题啦。

内容的提问来源于stack exchange，提问作者Jacol Jackson