本文介绍在 PHP 环境下（XAMPP + Apache）通过 Session 机制保护管理员后台页面（如 /admin/dashboard.php），确保未登录用户无法直接通过 URL 访问，彻底解决 dashboard.html 可被绕过登录直接打开的安全问题。
本文介绍在 php 环境下（xampp + apache）通过 session 机制保护管理员后台页面（如 `/admin/dashboard.php`），确保未登录用户无法直接通过 url 访问，彻底解决 `dashboard.html` 可被绕过登录直接打开的安全问题。
要实现“仅登录后可见”的后台页面，核心原则是：HTML 文件无法做服务端权限控制，必须改用 PHP 页面 + Session 验证。你当前的 dashboard.html 是纯静态文件，浏览器可直接读取，Apache 不会执行任何逻辑校验——因此无论是否登录，只要知道路径就能访问。真正的保护必须在服务端完成。
✅ 正确做法：三步构建安全访问流程
1. 登录成功后启动并写入 Session
修改你的 login.php，在验证通过后启用 Session 并设置登录状态标志（务必在任何输出前调用 session_start()）：
<?php
session_start(); // 必须放在最顶部，无空格/HTML 输出
error_reporting(E_ALL);
ini_set('display_errors', 1);
$servername = "localhost";
$db_username = "root"; // 避免与 $_POST['username'] 变量名冲突
$db_password = "";
$dbname = "login";
$conn = new mysqli($servername, $db_username, $db_password, $dbname);
if ($conn->connect_error) die("Connection failed: " . $conn->connect_error);
// 使用预处理语句防止 SQL 注入（强烈推荐）
$stmt = $conn->prepare("SELECT id, username, password FROM users WHERE username = ?");
$stmt->bind_param("s", $_POST['username']);
$stmt->execute();
$result = $stmt->get_result();
if ($result->num_rows > 0) {
$user = $result->fetch_assoc();
// 安全比对密码（假设密码已用 password_hash() 加密存储）
if (password_verify($_POST['password'], $user['password'])) {
// ✅ 验证通过：设置 Session 并跳转
$_SESSION['loggedin'] = true;
$_SESSION['user_id'] = $user['id'];
$_SESSION['username'] = $user['username'];
header("Location: dashboard.php");
exit;
}
}
// ❌ 失败：清空可能残留的 Session 并跳转错误页
$_SESSION = [];
header("Location: error.html");
exit;
?>⚠️ 注意事项：
- 永远不要用
$_POST['username']直接拼接 SQL（你原代码存在严重 SQL 注入漏洞）；- 密码应使用
password_hash()存储、password_verify()校验，而非明文对比；header()前不能有任何echo、空格或 HTML 输出（否则报“headers already sent”）。
2. 将 dashboard.html 重命名为 dashboard.php，并在顶部强制校验 Session
<?php
session_start();
// ? 关键：未登录则重定向到登录页
if (!isset($_SESSION['loggedin']) || $_SESSION['loggedin'] !== true) {
header("Location: ../login.html"); // 或 login.php
exit;
}
?>
<!DOCTYPE html>
<html>
<head>
<title>Admin Dashboard</title>
<link rel="stylesheet" href="css/style.css">
</head>
<body>
<h1>Welcome, <?php echo htmlspecialchars($_SESSION['username']); ?>!</h1>
<p>This is your secure admin dashboard.</p>
<!-- 其他 HTML 内容 -->
</body>
</html>3. 所有受保护页面均需包含相同校验逻辑
任何需要登录才能访问的 PHP 页面（如 users.php、settings.php），都应在 标签前加入上述 session_start() + 权限判断代码块。
✅ 额外加固建议
-
销毁 Session 的退出功能（
logout.php）：<?php session_start(); $_SESSION = []; session_destroy(); header("Location: login.html"); exit; ?> -
设置 Session 过期时间（可选）：
// 在 login.php 中设置 30 分钟有效期 $_SESSION['login_time'] = time(); // 在 dashboard.php 中检查 if (time() - $_SESSION['login_time'] > 1800) { session_destroy(); header("Location: login.html"); exit; }
通过以上改造，你的 /admin/dashboard.php 将真正成为“登录门禁”后的专属空间——即使用户手动输入 URL，PHP 也会实时拦截并跳转回登录页，从根源上杜绝未授权访问。记住：前端不可信，一切关键逻辑必须由服务端（PHP + Session）兜底。
