重定向未经身份验证的用户时的 PHP 最佳实践

Question

好的，我已经看到了几种不同的重定向用户的方法，例如，当用户未登录或不允许查看页面并决定重定向时。

我将设置场景...假设，当用户提供了正确的用户名和密码时，会话变量$_SESSION['loggedin'] 被创建。现在，当这个用户转到logged_in_users_only.php 时，他可以愉快地看到该页面。但是，Danger Jim 出现了，他没有登录，然后转到 logged_in_users_only.php 并被重定向回主页（可能带有警告）

所以。这是我见过的两种主要方法，想知道它们中的任何一种是否有安全隐患，或者可能让 Danger Jim 看到logged_in_users_only.php 页面

示例 1

if(session_status()==PHP_SESSION_NONE) {
    session_start();
}
if(isset($_SESSION['loggedin'])) {
    //show content
} else {
    header('Location: home.php');
    exit;
}

示例 2

if(session_status()==PHP_SESSION_NONE) {
    session_start();
}
if(!isset($_SESSION['loggedin'])) {
    header('Location: home.php');
    exit;
}
//show content

就个人而言，我一直采用第一种方法。我认为这是因为代码似乎很好地“被困”在括号内（也许我只是喜欢这样看，哈哈）。

但我很想知道示例 2 是否可以永远让 Danger Jim 看到内容。

Answer 1

我认为这是一个很好的问题，所以我会尽力给出一个好的答案！

这两个例子都可以，最大的不同是第一个例子看起来确实更安全。但两者都做同样的事情。 在第一个示例中，您只需要考虑一件事：

if(session_status()==PHP_SESSION_NONE) {
    session_start();
}
if(isset($_SESSION['loggedin'])) {
    echo "logged in!";
} else {
    header('Location: home.php');
    Exit;
}

您必须回显所有内容。某些 IDE 不支持 PHP 回显函数内的 HTML 着色。

我个人使用第二个示例，因为我的 IDE 不支持 PHP 字符串中的代码着色。

if(session_status()==PHP_SESSION_NONE) {
    session_start();
}
if(!isset($_SESSION['loggedin'])) {
    header('Location: home.php');
    Exit;
}

在header(); 之后，页面被关闭，因此使用第二个示例没有“真正的”危险。 如果您想了解更多详细信息，请阅读header manual（如果您还没有的话）。

祝你的代码好运，我希望我们在 stackoverflow 帮助你成为一个更好的程序员。他们帮了我很多:)

附言对不起我的英语不好