如何限制未付费用户登录网站：PHP登录系统权限控制实战-php教程-PHP中文网

如何限制未付费用户登录网站：PHP登录系统权限控制实战

本文详解如何在PHP登录系统中增加付费状态校验，通过数据库字段判断用户是否已付费，仅允许 paid_status = 1 的用户成功登录，有效防止未付费用户访问受限资源。

本文详解如何在php登录系统中增加付费状态校验，通过数据库字段判断用户是否已付费，仅允许 paid_status = 1 的用户成功登录，有效防止未付费用户访问受限资源。

在现有登录逻辑中，仅验证邮箱与密码的正确性是远远不够的——若未对用户付费状态做拦截，未付费用户仍可正常进入系统，带来权限越界与商业风险。要实现精准访问控制，关键在于将付费状态作为登录授权的必要条件之一，并在数据库查询阶段完成过滤。

✅ 步骤一：优化数据库结构

首先，确保用户表（如 users）中存在明确标识付费状态的字段。推荐使用 TINYINT(1) 或 ENUM('0','1') 类型（而非字符串 'paid_unpaid'），语义清晰且便于索引与查询：

ALTER TABLE users 
ADD COLUMN paid_status TINYINT(1) DEFAULT 0 COMMENT '0=unpaid, 1=paid';

⚠️ 注意：避免使用含空格或特殊符号的字段名（如 paid-unpaid），MySQL 中需用反引号包裹才合法，易引发语法错误；统一采用下划线命名（paid_status）更规范、安全。

✅ 步骤二：增强登录查询逻辑

修改原登录 SQL 查询，在 WHERE 子句中同时校验邮箱、密码和付费状态。仅当三者全部匹配时，才视为合法登录：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

<?php session_start();
include_once('includes/config.php');

if (isset($_POST['login'])) {
    $email = mysqli_real_escape_string($con, $_POST['uemail']); // 防SQL注入
    $password = md5($_POST['password']); // ⚠️ 建议升级为 password_hash() + password_verify()

    // 关键：增加 AND paid_status = 1 条件
    $query = "SELECT id, fname, paid_status FROM users 
              WHERE email = '$email' 
                AND password = '$password' 
                AND paid_status = 1";

    $ret = mysqli_query($con, $query);

    if ($ret && mysqli_num_rows($ret) == 1) {
        $user = mysqli_fetch_assoc($ret);
        $_SESSION['id'] = $user['id'];
        $_SESSION['name'] = $user['fname'];
        header("Location: welcome.php");
        exit;
    } else {
        echo "<script>alert('登录失败：邮箱、密码错误或账户未开通权限');";
    }
}
?>

? 安全增强提示：

使用 mysqli_real_escape_string() 对输入进行基础转义（但强烈建议迁移到预处理语句以彻底防范SQL注入）；

md5() 已属不安全哈希算法，生产环境应改用 password_hash() 存储、password_verify() 校验；

登录成功后务必调用 exit 防止后续代码执行。

✅ 步骤三：配套管理机制（可选但推荐）

后台付费管理页：提供管理员界面，可将指定用户的 paid_status 从 0 更新为 1；
自动续费/过期检查：若支持订阅制，可在登录前追加时间字段（如 paid_until），动态判断是否仍在有效期内；
登录后权限提示：在 welcome.php 中可读取 $_SESSION['id'] 查询当前 paid_status，对未付费用户显示友好引导（如“立即升级以解锁全部功能”）。