本文介绍如何通过动态表名和权限白名单机制，将重复的管理员与员工登录验证逻辑合并为一段可复用、更安全、更易维护的 pdo 查询代码。
本文介绍如何通过动态表名和权限白名单机制，将重复的管理员与员工登录验证逻辑合并为一段可复用、更安全、更易维护的 pdo 查询代码。
在实际开发中，当多个用户角色（如 admin 和 staff）共享相似的登录流程时，若为每个角色单独编写一套几乎相同的 PDO 查询逻辑，不仅导致代码冗余，还会增加维护成本与安全风险（如遗漏参数绑定、SQL 注入隐患）。理想方案是抽象共性、约束变量、强化校验。
以下为优化后的核心实现：
<?php
session_start();
include('includes/con.php');
// 定义合法权限类型（白名单），防止任意表名注入
$allowedPermissions = ['admin', 'staff'];
if (isset($_POST['permission']) && in_array($_POST['permission'], $allowedPermissions)) {
$permission = $_POST['permission'];
$username = $_POST['username'] ?? '';
$password = md5($_POST['password'] ?? '');
// ✅ 动态但受控的表名拼接：仅允许白名单中的值
$sql = "SELECT username, password FROM `{$permission}` WHERE username = :uname AND password = :password";
$query = $dbh->prepare($sql);
// ✅ 强制参数绑定，杜绝 SQL 注入
$query->bindParam(':uname', $username, PDO::PARAM_STR);
$query->bindParam(':password', $password, PDO::PARAM_STR);
$query->execute();
$results = $query->fetchAll(PDO::FETCH_OBJ);
if ($query->rowCount() > 0) {
$_SESSION[$permission] = $username;
// ✅ 推荐改用 HTTP 重定向替代内联 JS 跳转（更安全、符合 REST 原则）
header('Location: home.php');
exit;
} else {
$error = "Invalid {$permission} credentials.";
// 可记录日志或返回给前端（如设置 $_SESSION['error'] 后跳转）
$_SESSION['login_error'] = $error;
header('Location: login.php');
exit;
}
} else {
$_SESSION['login_error'] = 'Invalid or missing permission type.';
header('Location: login.php');
exit;
}
?>✅ 关键优化点说明：
-
统一入口：使用
$_POST['permission']替代分散的$_POST['admin']/$_POST['staff']，语义更清晰； -
白名单校验：
in_array()阻断非法表名（如admin; DROP TABLE staff--`），从根本上防范表名注入； - 避免重复逻辑：密码哈希、查询准备、绑定、执行、会话赋值全部集中处理；
-
安全性增强：移除
<script></script>跳转，改用header('Location: ...')实现服务端重定向，防止 XSS 与跳转劫持； -
健壮性提升：添加空值判断（
?? ''）、错误归一化处理、显式exit避免后续代码执行。
⚠️ 注意事项：
-
md5()已不推荐用于密码哈希（无盐、易碰撞），应升级为password_hash()+password_verify()； - 表结构建议统一为单用户表 +
role字段，而非多表分离，更利于权限扩展与审计； - 实际生产环境需增加验证码、登录失败锁定、HTTPS 强制等防护措施。
通过这一重构，代码行数减少约 40%，可读性、安全性与可扩展性显著提升——这才是面向角色的认证逻辑应有的简洁与严谨。
