本文介绍如何在 php 登录系统中增加付费状态校验，通过数据库字段判断用户是否已付费，从而阻止 unpaid 用户访问受保护页面。
本文介绍如何在 php 登录系统中增加付费状态校验，通过数据库字段判断用户是否已付费，从而阻止 unpaid 用户访问受保护页面。
在现有登录逻辑中，仅验证邮箱与密码的正确性是不够的——若需实现“仅付费用户可登录”，必须将 paid_status（或类似字段）纳入认证条件。以下是完整、安全、可落地的改造方案：
✅ 第一步：优化数据库结构
建议将原 paid_unpaid 字段改为更规范的 paid_status，类型推荐使用 TINYINT(1)（取值 0/1），语义清晰且兼容性好：
ALTER TABLE users ADD COLUMN paid_status TINYINT(1) DEFAULT 0 COMMENT '0=unpaid, 1=paid';
⚠️ 注意：避免使用
ENUM('0','1')或含空格字段名（如paid-status），MySQL 中带连字符的字段名需用反引号包裹，易出错且不符合命名规范。
✅ 第二步：强化登录查询逻辑
在原有 SQL 查询中，必须同时校验密码正确性与付费状态为 1。同时，务必使用预处理语句防止 SQL 注入（原代码存在严重安全风险）：
立即学习“PHP免费学习笔记（深入）”；
<?php
session_start();
include_once('includes/config.php');
if (isset($_POST['login'])) {
$useremail = trim($_POST['uemail']);
$password = md5($_POST['password']); // ⚠️ 注：md5 已不安全，建议升级为 password_hash()
// ✅ 使用预处理防止 SQL 注入
$stmt = $con->prepare("SELECT id, fname, paid_status FROM users WHERE email = ? AND password = ? AND paid_status = 1");
$stmt->bind_param("ss", $useremail, $password);
$stmt->execute();
$result = $stmt->get_result();
if ($result->num_rows > 0) {
$user = $result->fetch_assoc();
$_SESSION['id'] = $user['id'];
$_SESSION['name'] = $user['fname'];
header("Location: welcome.php");
exit;
} else {
echo "<script>alert('登录失败：邮箱、密码错误，或账户尚未付费');</script>";
}
}
?>✅ 第三步：配套保障措施（关键！）
-
密码安全升级：
md5()已被弃用且不可加盐，强烈建议迁移到password_hash()/password_verify()：// 注册时 $hashed_pass = password_hash($_POST['password'], PASSWORD_ARGON2ID); // 登录时（替换原 md5 验证） if (password_verify($_POST['password'], $user['password'])) { ... } -
会话安全：登录成功后调用
exit防止后续代码执行；敏感页面（如welcome.php）开头应校验$_SESSION['id']及付费状态（二次防护）。 - 前端提示友好化：避免向攻击者泄露“是未付费还是密码错”，统一提示“登录失败”，提升安全性。
✅ 补充：付费状态更新逻辑（后台/支付回调）
当用户完成支付后，需在服务端更新其状态（示例）：
// 支付成功回调中（伪代码）
$uid = 123;
$stmt = $con->prepare("UPDATE users SET paid_status = 1 WHERE id = ?");
$stmt->bind_param("i", $uid);
$stmt->execute();通过以上改造，你的登录系统即可精准拦截未付费用户，兼顾安全性、可维护性与业务扩展性。记住：权限控制永远需要“服务端校验 + 数据库约束 + 前端友好提示”三位一体。
