如何实现仅登录用户可访问的后台管理页面-html教程-PHP中文网

如何实现仅登录用户可访问的后台管理页面

本文介绍在 PHP 环境下（XAMPP + Apache）通过 Session 机制保护管理员后台页面（如 /admin/dashboard.php），确保未登录用户无法直接通过 URL 访问，彻底解决 dashboard.html 可被绕过登录直接打开的安全问题。

本文介绍在 php 环境下（xampp + apache）通过 session 机制保护管理员后台页面（如 `/admin/dashboard.php`），确保未登录用户无法直接通过 url 访问，彻底解决 `dashboard.html` 可被绕过登录直接打开的安全问题。

要实现“仅登录后可见”的后台页面，核心原则是：HTML 文件无法做服务端权限控制，必须改用 PHP 页面 + Session 验证。你当前的 dashboard.html 是纯静态文件，浏览器可直接读取，Apache 不会执行任何逻辑校验——因此无论是否登录，只要知道路径就能访问。真正的保护必须在服务端完成。

✅ 正确做法：三步构建安全访问流程

1. 登录成功后启动并写入 Session

修改你的 login.php，在验证通过后启用 Session 并设置登录状态标志（务必在任何输出前调用 session_start()）：

<?php session_start(); // 必须放在最顶部，无空格/HTML 输出
error_reporting(E_ALL);
ini_set('display_errors', 1);

$servername = "localhost";
$db_username = "root"; // 避免与 $_POST['username'] 变量名冲突
$db_password = "";
$dbname = "login";

$conn = new mysqli($servername, $db_username, $db_password, $dbname);
if ($conn->connect_error) die("Connection failed: " . $conn->connect_error);

// 使用预处理语句防止 SQL 注入（强烈推荐）
$stmt = $conn->prepare("SELECT id, username, password FROM users WHERE username = ?");
$stmt->bind_param("s", $_POST['username']);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    $user = $result->fetch_assoc();
    // 安全比对密码（假设密码已用 password_hash() 加密存储）
    if (password_verify($_POST['password'], $user['password'])) {
        // ✅ 验证通过：设置 Session 并跳转
        $_SESSION['loggedin'] = true;
        $_SESSION['user_id'] = $user['id'];
        $_SESSION['username'] = $user['username'];
        header("Location: dashboard.php");
        exit;
    }
}
// ❌ 失败：清空可能残留的 Session 并跳转错误页
$_SESSION = [];
header("Location: error.html");
exit;
?>

⚠️ 注意事项：

永远不要用 $_POST['username'] 直接拼接 SQL（你原代码存在严重 SQL 注入漏洞）；

密码应使用 password_hash() 存储、password_verify() 校验，而非明文对比；

header() 前不能有任何 echo、空格或 HTML 输出（否则报“headers already sent”）。

2. 将 `dashboard.html` 重命名为 `dashboard.php`，并在顶部强制校验 Session

<?php session_start();
// ? 关键：未登录则重定向到登录页
if (!isset($_SESSION['loggedin']) || $_SESSION['loggedin'] !== true) {
    header("Location: ../login.html"); // 或 login.php
    exit;
}
?><title>Admin Dashboard</title><link rel="stylesheet" href="css/style.css"><h1>Welcome, <?php echo htmlspecialchars($_SESSION['username']); ?>!</h1>
    <p>This is your secure admin dashboard.</p>
    <!-- 其他 HTML 内容 -->

3. 所有受保护页面均需包含相同校验逻辑

任何需要登录才能访问的 PHP 页面（如 users.php、settings.php），都应在标签前加入上述 session_start() + 权限判断代码块。

✅ 额外加固建议

销毁 Session 的退出功能（logout.php）：

<?php session_start();
$_SESSION = [];
session_destroy();
header("Location: login.html");
exit;
?>

设置 Session 过期时间（可选）：

// 在 login.php 中设置 30 分钟有效期
$_SESSION['login_time'] = time();
// 在 dashboard.php 中检查
if (time() - $_SESSION['login_time'] > 1800) {
    session_destroy();
    header("Location: login.html");
    exit;
}

通过以上改造，你的 /admin/dashboard.php 将真正成为“登录门禁”后的专属空间——即使用户手动输入 URL，PHP 也会实时拦截并跳转回登录页，从根源上杜绝未授权访问。记住：前端不可信，一切关键逻辑必须由服务端（PHP + Session）兜底。