浅谈登录页面该注意的问题（通过代码详解）

复制PHP内容到剪贴板

PHP代码:

//登录验证
if($_POST['action']=="login")//表单的ACTION
{
global $DB,$db_prefix;  //全局变量 $DB是数据库类的实例  $db_prefix数据库中表前缀
        
$query=$DB->query("select `userid`,`username`,`password`,`groupid` from {$db_prefix}users where groupid=1");
//这里很简单，到用户表中寻找用户组为1的用户。
while($info=$DB->fetch_array($query)) //遍历刚才搜寻的用户
{
  if(($_POST['username']==$info['username'])&&(md5($_POST['password'])==$info['password']))//当表单传上来的用户名和密码分别和数据库中的用户名和密码相对时，执行以下操作。
   {
   setcookie('username',$info['username']);
            setcookie('userid',$info['userid']);
   setcookie('groupid',$info['groupid']);
   setcookie('onlineip',$onlineip);//以上在COOKIE保存登录用户的一些信息，为在接下来验证用户是否登录时用到。有兴趣的朋友在这里可以考虑将COOKIE通过64加密的方式保存

  $DB->query("DELETE FROM {$db_prefix}sessions WHERE username='".$info['username']."' OR lastactivity+1800<'$timestamp'");
//删除SESSION表中该登录用户以前登录的数据
  $DB->query("INSERT INTO {$db_prefix}sessions (username,userid,groupid,ipaddress,lastactivity) VALUES ('".$info['username']."', '".$info['userid']."','".$info['groupid']."', '$onlineip', '$timestamp')");
//SESSION表中插入当前登录用户的信息
   if($_SERVER['QUERY_STRING'])//假如URL 中第一个问号 ? 之后的内容存在
    redirect('登录成功,请稍候...','admincp.php'.$_SERVER['QUERY_STRING']);
   redirect('登录成功...','admincp.php');
   exit;
   }
  else
   {
            redirect('登录失败，请稍候...','admincp.php');  //登录失败
  exit;
   }
  }
}

复制PHP内容到剪贴板

PHP代码:

//判断用户是否登录
    $username= $_COOKIE['username'];
if($_COOKIE['username']&&$_COOKIE['userid']&&$_COOKIE['groupid']&&$_COOKIE['onlineip'])//第二块：用户已经登录，判断标准通过COOKIE的值，如有，执行以下操作。
{
    $query=$DB->query("SELECT * FROM {$db_prefix}sessions WHERE username='$username' AND lastactivity+1800>'$timestamp'");
$session = $DB->fetch_one_array($query);
   if (!$session) {  //搜寻SESSION表，如果存在这样的用户名，且未操作时间已经大于某一个时间，则跳出登录页面
$DB->query("DELETE FROM {$db_prefix}sessions WHERE username='$username'");
  loginpage();
   }
   $query=$DB->query("SELECT userid,username,password,logincount,groupid FROM {$db_prefix}users WHERE username='".$session['username']."'");
$userinfo = $DB->fetch_one_array($query);
   if (!$userinfo) {//SESSION表验证是否存在这个用户，防止SESSION伪造。同时也巩固上面的COOKIE验证，即使上面的COOKIE伪造成功，同样这里也通不过验证。
  loginpage();
  }

$DB->query("UPDATE {$db_prefix}sessions SET lastactivity='$timestamp' WHERE username='$username'");
}
else  //第一块：用户初次登录
{
  loginpage(); //登录页面
}