用户中心必须与登录态、权限校验、数据隔离强绑定，禁止直接用session('user')查库或混用session/cookie，应仅存user_id并每次校验数据库状态，严格约束http方法、脱敏敏感字段，并完善退出闭环。
用户中心不是加个页面就能用的，它必须和登录态、权限校验、数据隔离强绑定。直接在控制器里写 session('user') 取值再查库，90% 的项目会出安全漏洞或状态不一致问题。
session 和 cookie 混用导致登录态失效
很多老项目沿用 ThinkPHP 3.x 风格，在 login() 方法里同时写 session('user', ...) 和 cookie('user', ...)，但没统一过期策略或加密方式。结果是：用户登出时只清了 session，cookie 还残留；或者 cookie 被篡改后伪造身份。
- ThinkPHP 5.1+ 默认 session 存储在服务端，
cookie()是客户端存储，二者不应承载相同敏感字段 - 若需持久化登录，应使用
session_set_cookie_params()控制 session cookie 生命周期，而不是手动存cookie('user') - 所有用户中心接口必须以
session('user_id')或session('uid')为唯一可信标识，禁止解析 JSON 字符串再取字段
isHomeUser() 类验证函数绕过数据库校验
你看到的 isHomeUser() 函数典型写法是先取 session('user')，再 json_decode()，最后拿里面字段去查库——这等于把 session 当缓存用，但漏掉了关键一步：没校验该用户是否已被禁用、是否被踢下线、角色是否变更。
- 正确做法是只存
session('user_id')和session('last_login_time')，每次访问用户中心前，用user_id查一次数据库，检查status、is_deleted、updated_at是否有变动 - 不要在
isHomeUser()里返回完整用户数据，只返回布尔值或最小必要字段（如['id' => 123, 'role' => 'member']） - 如果用了 Redis 做用户状态缓存，记得在用户禁用时同步
DEL user:123:status
用户中心接口没做请求来源过滤
ThinkPHP 默认不限制控制器方法的 HTTP 方法类型。常见错误是把 account()、profile() 这类读接口写成支持 GET/POST 任意方法，结果被爬虫或恶意脚本批量调用，暴露手机号、邮箱等字段。
- 在路由定义中显式约束方法：
Route::get('user/profile', 'User/profile'); - 控制器方法开头加判断：
if (!request()->isGet()) { $this->error('非法请求'); } - 敏感字段（如手机号、身份证号）必须在模板层或 API 返回前做脱敏，不能依赖前端 JS 处理
最常被忽略的是用户中心的「退出」逻辑——很多人只清 session，却忘了删掉 remember_token、关掉 WebSocket 连接、通知第三方登录服务（如微信开放平台）注销授权。这些点不补全，就谈不上真正的用户状态闭环。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
