本文详解如何在PHP登录系统中增加付费状态校验，通过数据库字段判断用户是否已付费，仅允许 paid_status = 1 的用户成功登录，有效防止未付费用户访问受限资源。
本文详解如何在php登录系统中增加付费状态校验，通过数据库字段判断用户是否已付费，仅允许 paid_status = 1 的用户成功登录，有效防止未付费用户访问受限资源。
在现有登录逻辑中，仅验证邮箱与密码的正确性是远远不够的——若未对用户付费状态做拦截，未付费用户仍可正常进入系统，带来权限越界与商业风险。要实现精准访问控制，关键在于将付费状态作为登录授权的必要条件之一，并在数据库查询阶段完成过滤。
✅ 步骤一：优化数据库结构
首先，确保用户表（如 users）中存在明确标识付费状态的字段。推荐使用 TINYINT(1) 或 ENUM('0','1') 类型（而非字符串 'paid_unpaid'），语义清晰且便于索引与查询：
ALTER TABLE users ADD COLUMN paid_status TINYINT(1) DEFAULT 0 COMMENT '0=unpaid, 1=paid';
⚠️ 注意：避免使用含空格或特殊符号的字段名（如
paid-unpaid），MySQL 中需用反引号包裹才合法，易引发语法错误；统一采用下划线命名（paid_status）更规范、安全。
✅ 步骤二：增强登录查询逻辑
修改原登录 SQL 查询，在 WHERE 子句中同时校验邮箱、密码和付费状态。仅当三者全部匹配时，才视为合法登录：
立即学习“PHP免费学习笔记（深入）”；
<?php
session_start();
include_once('includes/config.php');
if (isset($_POST['login'])) {
$email = mysqli_real_escape_string($con, $_POST['uemail']); // 防SQL注入
$password = md5($_POST['password']); // ⚠️ 建议升级为 password_hash() + password_verify()
// 关键：增加 AND paid_status = 1 条件
$query = "SELECT id, fname, paid_status FROM users
WHERE email = '$email'
AND password = '$password'
AND paid_status = 1";
$ret = mysqli_query($con, $query);
if ($ret && mysqli_num_rows($ret) == 1) {
$user = mysqli_fetch_assoc($ret);
$_SESSION['id'] = $user['id'];
$_SESSION['name'] = $user['fname'];
header("Location: welcome.php");
exit;
} else {
echo "<script>alert('登录失败：邮箱、密码错误或账户未开通权限');</script>";
}
}
?>? 安全增强提示：
- 使用
mysqli_real_escape_string()对输入进行基础转义（但强烈建议迁移到预处理语句以彻底防范SQL注入）；md5()已属不安全哈希算法，生产环境应改用password_hash()存储、password_verify()校验；- 登录成功后务必调用
exit防止后续代码执行。
✅ 步骤三：配套管理机制（可选但推荐）
-
后台付费管理页：提供管理员界面，可将指定用户的
paid_status从0更新为1； -
自动续费/过期检查：若支持订阅制，可在登录前追加时间字段（如
paid_until），动态判断是否仍在有效期内； -
登录后权限提示：在
welcome.php中可读取$_SESSION['id']查询当前paid_status，对未付费用户显示友好引导（如“立即升级以解锁全部功能”）。
✅ 总结
权限控制不是“锦上添花”，而是系统安全与商业模式的基石。本文所实现的 paid_status 校验，以最小侵入方式嵌入原有登录流程，零成本提升业务合规性。记住核心原则：认证（Authentication）之后必须紧跟授权（Authorization）——登录成功 ≠ 访问许可。
