本文介绍如何通过比对 discord 用户角色 id 判断其是否具备管理员权限，并安全控制页面访问，避免逻辑漏洞与重定向错误。
本文介绍如何通过比对 discord 用户角色 id 判断其是否具备管理员权限，并安全控制页面访问，避免逻辑漏洞与重定向错误。
在基于 Discord OAuth 登录的 Web 应用中，常需根据用户所拥有的角色（如管理角色）限制敏感页面的访问。你已将用户角色 ID 数组存于 $_SESSION['iroles']，关键在于高效、安全、无副作用地校验目标 $AdminID 是否存在于该数组中。
原始代码存在多个严重问题：
- 在循环中每次不匹配就立即执行
header("Location: error.php")并退出脚本，导致只要第一个角色不匹配就会跳转，完全忽略后续可能存在的正确 ID； -
$AdminID被错误地在条件分支内重新赋值（$AdminID = "10084505484727420002";），覆盖了原本应作为常量使用的管理员 ID； - 未在跳转后调用
exit()或die()，可能导致后续代码意外执行（PHP 不会自动终止脚本）； - 缺少对
$_SESSION['iroles']是否为有效数组的前置校验，存在 Notice 风险。
✅ 推荐写法（简洁、健壮、符合最佳实践）：
<?php
session_start();
// 检查用户是否已登录
if (!isset($_SESSION['user'])) {
header("Location: login.php");
exit();
}
// 定义管理员角色 ID（硬编码或从配置读取）
$AdminID = "10084505484727420002";
// 确保 iroles 是数组且非空
$iroles = $_SESSION['iroles'] ?? [];
if (!is_array($iroles)) {
$iroles = [];
}
// 使用 in_array 进行高效、安全的包含判断
if (in_array($AdminID, $iroles, true)) {
$Access = true;
// ✅ 允许访问受保护内容
// 例如：include 'admin-dashboard.php';
} else {
header("Location: error.php");
exit(); // ⚠️ 必须调用 exit() 防止后续代码执行
}
?>? 关键注意事项：
立即学习“PHP免费学习笔记（深入）”；
-
in_array($needle, $haystack, true)的第三个参数true启用严格类型比较，防止"123"误匹配整数123； - 始终在
header()后紧跟exit()或die()，这是 PHP 重定向的安全铁律； - 使用空合并运算符
??和类型校验，防御性编程可避免未定义索引或非数组导致的警告； - 若需支持多级权限（如管理员、版主、审核员），建议改用
array_intersect($iroles, $allowedRoles)并结合权限映射表，提升可维护性。
通过以上方式，你不仅能准确识别管理员身份，还能构建更可靠、可扩展的访问控制机制。
