18.6 登录失效

问题描述

在 PHP 开发中，登录失效是一个常见的问题。用户登录后，可能会遇到登录状态丢失、会话过期或无法保持登录状态的情况。

常见原因

1. 会话配置问题

会话配置不当，如会话过期时间过短、会话存储路径不存在或无权限。

示例：

php

<?php
// 会话配置
ini_set('session.gc_maxlifetime', 1800); // 会话过期时间为 30 分钟
ini_set('session.save_path', '/tmp'); // 会话存储路径

// 启动会话
session_start();
?>

Cookie 设置不当，如 Cookie 过期时间过短、路径设置错误或域名设置错误。

示例：

php

<?php
// 设置 Cookie
setcookie('user_id', $user_id, time() + 3600, '/'); // Cookie 过期时间为 1 小时
?>

3. 会话劫持或固定

会话被劫持或固定，导致登录状态被他人获取。

4. 服务器配置问题

服务器配置不当，如负载均衡导致会话丢失、服务器重启导致会话丢失等。

5. 浏览器设置问题

浏览器设置不当，如禁用 Cookie、隐私模式等。

排查方法

1. 检查会话配置

检查会话配置是否正确：

php

<?php
echo '会话过期时间: ' . ini_get('session.gc_maxlifetime') . ' 秒<br>';
echo '会话存储路径: ' . ini_get('session.save_path') . '<br>';
echo '会话名称: ' . session_name() . '<br>';
?>

检查 Cookie 设置是否正确：

php

<?php
if (isset($_COOKIE['user_id'])) {
    echo 'Cookie 存在: ' . $_COOKIE['user_id'] . '<br>';
} else {
    echo 'Cookie 不存在<br>';
}
?>

3. 检查会话状态

检查会话状态是否正确：

php

<?php
session_start();
if (isset($_SESSION['user_id'])) {
    echo '会话存在: ' . $_SESSION['user_id'] . '<br>';
} else {
    echo '会话不存在<br>';
}
?>

4. 检查服务器配置

检查服务器配置是否正确，特别是负载均衡和会话存储配置。

5. 检查浏览器设置

检查浏览器设置，确保 Cookie 未被禁用，且未使用隐私模式。

解决方案

1. 优化会话配置

优化会话配置，设置合理的过期时间和存储路径：

php

<?php
// 会话配置
ini_set('session.gc_maxlifetime', 86400); // 会话过期时间为 24 小时
ini_set('session.save_path', '/tmp'); // 会话存储路径
ini_set('session.cookie_lifetime', 86400); // Cookie 过期时间为 24 小时
ini_set('session.cookie_path', '/'); // Cookie 路径
ini_set('session.cookie_domain', ''); // Cookie 域名
ini_set('session.cookie_httponly', true); // 防止 XSS 攻击
ini_set('session.cookie_secure', true); // 只在 HTTPS 下传输

// 启动会话
session_start();
?>

2. 使用数据库存储会话

使用数据库存储会话，提高会话的可靠性：

php

<?php
// 会话存储函数
function session_open($save_path, $session_name) {
    global $conn;
    $conn = mysqli_connect('localhost', 'root', '', 'myDB');
    return true;
}

function session_close() {
    global $conn;
    mysqli_close($conn);
    return true;
}

function session_read($session_id) {
    global $conn;
    $result = mysqli_query($conn, "SELECT data FROM sessions WHERE id = '$session_id'");
    $row = mysqli_fetch_assoc($result);
    return $row ? $row['data'] : '';
}

function session_write($session_id, $session_data) {
    global $conn;
    $expires = time() + ini_get('session.gc_maxlifetime');
    $result = mysqli_query($conn, "SELECT id FROM sessions WHERE id = '$session_id'");
    if (mysqli_num_rows($result) > 0) {
        mysqli_query($conn, "UPDATE sessions SET data = '$session_data', expires = $expires WHERE id = '$session_id'");
    } else {
        mysqli_query($conn, "INSERT INTO sessions (id, data, expires) VALUES ('$session_id', '$session_data', $expires)");
    }
    return true;
}

function session_destroy($session_id) {
    global $conn;
    mysqli_query($conn, "DELETE FROM sessions WHERE id = '$session_id'");
    return true;
}

function session_gc($maxlifetime) {
    global $conn;
    $expires = time() - $maxlifetime;
    mysqli_query($conn, "DELETE FROM sessions WHERE expires < $expires");
    return true;
}

// 设置会话存储函数
session_set_save_handler('session_open', 'session_close', 'session_read', 'session_write', 'session_destroy', 'session_gc');

// 启动会话
session_start();
?>

3. 实现记住登录功能

实现记住登录功能，使用长期 Cookie 保持登录状态：

php

<?php
// 登录处理
if (isset($_POST['login'])) {
    // 验证用户
    $username = $_POST['username'];
    $password = $_POST['password'];
    $remember = isset($_POST['remember']);
    
    // 验证成功
    if ($valid) {
        // 启动会话
        session_start();
        $_SESSION['user_id'] = $user_id;
        
        // 记住登录
        if ($remember) {
            // 生成令牌
            $token = bin2hex(random_bytes(32));
            
            // 存储令牌到数据库
            mysqli_query($conn, "INSERT INTO remember_tokens (user_id, token) VALUES ($user_id, '$token')");
            
            // 设置 Cookie
            setcookie('remember_token', $token, time() + 30 * 24 * 3600, '/');
        }
    }
}

// 检查记住登录
if (!isset($_SESSION['user_id']) && isset($_COOKIE['remember_token'])) {
    $token = $_COOKIE['remember_token'];
    
    // 验证令牌
    $result = mysqli_query($conn, "SELECT user_id FROM remember_tokens WHERE token = '$token'");
    if (mysqli_num_rows($result) > 0) {
        $row = mysqli_fetch_assoc($result);
        $user_id = $row['user_id'];
        
        // 启动会话
        session_start();
        $_SESSION['user_id'] = $user_id;
    }
}
?>

4. 防止会话劫持和固定

防止会话劫持和固定，定期更新会话 ID：

php

<?php
// 启动会话
session_start();

// 定期更新会话 ID
if (!isset($_SESSION['last_regenerate'])) {
    $_SESSION['last_regenerate'] = time();
} elseif (time() - $_SESSION['last_regenerate'] > 300) { // 每 5 分钟更新一次
    session_regenerate_id(true);
    $_SESSION['last_regenerate'] = time();
}
?>

5. 使用 HTTPS

使用 HTTPS 加密传输，防止会话信息被窃取：

php

<?php
// 强制使用 HTTPS
if (!isset($_SERVER['HTTPS']) || $_SERVER['HTTPS'] !== 'on') {
    header('Location: https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI']);
    exit;
}

// 启动会话
session_start();
?>

6. 实现登录状态检查中间件

实现登录状态检查中间件，确保用户在需要登录的页面保持登录状态：

php

<?php
// 登录状态检查
function check_login() {
    session_start();
    if (!isset($_SESSION['user_id'])) {
        header('Location: login.php');
        exit;
    }
}

// 在需要登录的页面调用
check_login();
?>

实战演练

场景：登录后会话过期

问题：用户登录后，过一段时间会话就会过期，需要重新登录。

排查步骤：

检查会话配置：查看 session.gc_maxlifetime 和 session.cookie_lifetime 设置。
检查服务器配置：确认服务器是否定期清理会话文件。
检查浏览器设置：确认浏览器是否禁用了 Cookie。

解决方案：

修改会话配置：

php

<?php
// 会话配置
ini_set('session.gc_maxlifetime', 86400); // 会话过期时间为 24 小时
ini_set('session.cookie_lifetime', 86400); // Cookie 过期时间为 24 小时

// 启动会话
session_start();
?>

实现记住登录功能：

php

<?php
// 登录处理
if (isset($_POST['login'])) {
    // 验证用户
    $username = $_POST['username'];
    $password = $_POST['password'];
    $remember = isset($_POST['remember']);
    
    // 验证成功
    if ($valid) {
        // 启动会话
        session_start();
        $_SESSION['user_id'] = $user_id;
        
        // 记住登录
        if ($remember) {
            // 生成令牌
            $token = bin2hex(random_bytes(32));
            
            // 存储令牌到数据库
            mysqli_query($conn, "INSERT INTO remember_tokens (user_id, token) VALUES ($user_id, '$token')");
            
            // 设置 Cookie
            setcookie('remember_token', $token, time() + 30 * 24 * 3600, '/');
        }
    }
}
?>

场景：跨页面登录状态丢失

问题：用户在一个页面登录后，在另一个页面登录状态丢失。

排查步骤：

检查会话启动：确保每个页面都正确启动了会话。
检查 Cookie 路径：确保 Cookie 路径设置为 '/'。
检查域名设置：确保 Cookie 域名设置正确。

解决方案：

确保每个页面都启动会话：

php

<?php
// 在每个页面开头添加
session_start();
?>

设置正确的 Cookie 路径：

php

<?php
// 会话配置
ini_set('session.cookie_path', '/'); // Cookie 路径

// 启动会话
session_start();
?>

总结

登录失效是 PHP 开发中常见的问题，通常由会话配置问题、Cookie 设置问题、会话劫持或固定、服务器配置问题或浏览器设置问题导致。通过优化会话配置、使用数据库存储会话、实现记住登录功能、防止会话劫持和固定、使用 HTTPS 和实现登录状态检查中间件，可以有效地解决登录失效问题。

在开发过程中，应该注意以下几点：

合理设置会话过期时间和 Cookie 过期时间
使用数据库存储会话，提高会话的可靠性
实现记住登录功能，使用长期 Cookie 保持登录状态
定期更新会话 ID，防止会话劫持和固定
使用 HTTPS 加密传输，防止会话信息被窃取
实现登录状态检查中间件，确保用户在需要登录的页面保持登录状态

通过这些措施，可以减少登录失效的发生，提高应用程序的用户体验。

18.6 登录失效 ​

问题描述 ​

常见原因 ​

1. 会话配置问题 ​

2. Cookie 设置问题 ​

3. 会话劫持或固定 ​

4. 服务器配置问题 ​

5. 浏览器设置问题 ​

排查方法 ​

1. 检查会话配置 ​

2. 检查 Cookie 设置 ​

3. 检查会话状态 ​

4. 检查服务器配置 ​

5. 检查浏览器设置 ​

解决方案 ​

1. 优化会话配置 ​

2. 使用数据库存储会话 ​

3. 实现记住登录功能 ​

4. 防止会话劫持和固定 ​

5. 使用 HTTPS ​

6. 实现登录状态检查中间件 ​

实战演练 ​

场景：登录后会话过期 ​

场景：跨页面登录状态丢失 ​

总结 ​