如何根据数据库用户权限级别动态加载侧边栏菜单项-php教程-PHP中文网

如何根据数据库用户权限级别动态加载侧边栏菜单项

本文讲解如何安全地从数据库读取用户权限字段（如 level4），并基于其值动态包含对应 php 菜单项文件，重点解决 sql 字符串拼接导致的列名误解析错误及基础安全加固方法。

本文讲解如何安全地从数据库读取用户权限字段（如 level4），并基于其值动态包含对应 php 菜单项文件，重点解决 sql 字符串拼接导致的列名误解析错误及基础安全加固方法。

在构建多角色权限系统时，常需根据登录用户的数据库字段（如 level4 = 'yes'）动态显示管理类菜单项。上文示例代码初衷正确，但存在一个典型 SQL 拼接陷阱：未对 $_SESSION['userid'] 加引号，导致 MySQL 将变量值（如 justinw）误认为列名而非字符串字面量，从而抛出 Unknown column 'justinw' 的致命错误。

根本原因分析
原始语句：

$sql = "SELECT * FROM users WHERE userid =" .$_SESSION['userid'];

若 $_SESSION['userid'] 值为 justinw（非数字），生成的 SQL 实际为：

SELECT * FROM users WHERE userid = justinw

MySQL 将 justinw 解析为列名（而非字符串），故报错。修复方式是在拼接时添加单引号包裹变量值：

✅ 修正后（基础可用）：

$sql = "SELECT * FROM users WHERE userid = '" . $_SESSION['userid'] . "'";

⚠️ 但此写法仍存在严重安全隐患：若 $_SESSION['userid'] 被恶意篡改（如注入 ' OR '1'='1），将导致 SQL 注入。强烈推荐使用预处理语句替代字符串拼接：

✅ 推荐方案（安全、健壮）：

<?php // 使用预处理语句防止 SQL 注入
$stmt = $con->prepare("SELECT level4 FROM users WHERE userid = ?");
$stmt->bind_param("s", $_SESSION['userid']);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    $row = $result->fetch_assoc();
    if ($row['level4'] === 'yes') {
        include 'asidemenus/admin.php';
    }
}
$stmt->close();
?>

关键优化点说明：