如何限制未付费用户登录网站-php教程-PHP中文网

如何限制未付费用户登录网站

本文介绍在php登录系统中增加付费状态校验机制，通过数据库字段判断用户是否已付费，仅允许 paid_status=1 的用户成功登录，同时提醒避免sql注入与密码明文存储等安全风险。

本文介绍在php登录系统中增加付费状态校验机制，通过数据库字段判断用户是否已付费，仅允许 paid_status=1 的用户成功登录，同时提醒避免sql注入与密码明文存储等安全风险。

要在现有登录逻辑中实现“仅允许已付费用户访问”，关键是在身份认证基础上叠加付费状态验证。您当前的 MySQL 用户表已包含 paid_unpaid 字段，但需确保该字段被正确查询和校验。

✅ 步骤一：优化数据库字段设计（推荐）

将 paid_unpaid 改为语义更清晰、性能更优的 paid_status（TINYINT(1) 或 ENUM('0','1')），默认值设为 0（未付费）：

ALTER TABLE users 
ADD COLUMN paid_status TINYINT(1) DEFAULT 0 COMMENT '1=已付费, 0=未付费';

? 提示：使用 TINYINT(1) 比 ENUM 更易维护，且兼容性更好；后续可通过管理后台或支付回调将对应用户的 paid_status 更新为 1。

✅ 步骤二：增强登录查询逻辑

在原有 SQL 查询中增加 AND paid_status = 1 条件，并使用预处理语句防止SQL注入（强烈建议替代拼接字符串）：

<?php session_start();
include_once('includes/config.php');

if (isset($_POST['login'])) {
    $useremail = trim($_POST['uemail']);
    $password  = $_POST['password']; // ❗注意：不要在此处 md5() —— 应使用 password_hash() 存储，password_verify() 验证

    // ✅ 使用预处理防止SQL注入（推荐方式）
    $stmt = $con->prepare("SELECT id, fname, paid_status FROM users WHERE email = ? AND paid_status = 1");
    $stmt->bind_param("s", $useremail);
    $stmt->execute();
    $result = $stmt->get_result();

    if ($result->num_rows === 1) {
        $user = $result->fetch_assoc();

        // ✅ 安全验证密码（假设数据库中 password 字段存储的是 password_hash() 结果）
        if (password_verify($password, $user['password'])) {
            $_SESSION['id']   = $user['id'];
            $_SESSION['name'] = $user['fname'];
            header("Location: welcome.php");
            exit;
        }
    }

    // ❌ 登录失败统一处理（避免信息泄露）
    echo "<script>alert('邮箱或密码错误，或账户尚未开通权限。');</script>";
}
?>

⚠️ 重要安全提醒：

禁止使用 md5()：MD5 已被证实不安全，且不可逆；应改用 PHP 原生 password_hash() + password_verify()；

禁止直接拼接 SQL：原始代码中 '$useremail' 易受SQL注入攻击，必须改用预处理；

避免暴露敏感信息：错误提示不应区分“用户不存在”还是“未付费”，防止被用于账户探测。

✅ 步骤三：配套管理与更新机制

用户完成支付后，后端需执行更新语句（同样建议预处理）：

$stmt = $con->prepare("UPDATE users SET paid_status = 1 WHERE id = ?");
$stmt->bind_param("i", $user_id);
$stmt->execute();

可在 welcome.php 开头添加会话级二次校验（防绕过）：

if (!isset($_SESSION['id']) || !$_SESSION['id']) {
    header("Location: login.php");
    exit;
}
// 可选：查询当前用户付费状态（提升安全性）
$stmt = $con->prepare("SELECT paid_status FROM users WHERE id = ?");
$stmt->bind_param("i", $_SESSION['id']);
$stmt->execute();
$paid = $stmt->get_result()->fetch_assoc()['paid_status'];
if (!$paid) {
    session_destroy();
    header("Location: payment_required.php");
    exit;
}