【发布时间】：2014-05-05 15:31:34
【问题描述】：
我有一个密码保护页面，只能使用用户名和密码访问。一切都必须正确，但我没有！
这是我的表单 (index.php) 和 pdo:
<?php
if (isset($_POST['name'], $_POST['password'])) {
$dns = "mysql:host=localhost;dbname=department_c";
$option = array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES UTF8');
try{
$pdo = new PDO($dns, "root", "", $option);
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
} catch(PDOException $e){
die("Erreur de connection.");
}
$sql="SELECT * FROM admin WHERE name = :name AND password = MD5(:password)";
$stmt = $pdo->prepare($sql);
$stmt->bindValue('name', $_POST['name']);
$stmt->bindValue('password', $_POST['password']);
$stmt->execute();
$nbMembre = $stmt->rowCount();
if($nbMembre == 1){
$membre = $stmt->fetch(PDO::FETCH_ASSOC);
header("location:test.php");
} else {
$msg="<font color='orange'>Enter username and password.</font>";
}
} else {
$msg ="<font color='red'>Lgon!</font>";
}
?>
<!DOCTYPE html>
<html>
<head>
<title>Login</title>
<meta charset="UTF-8" />
</head>
<body>
<form action="" method="post">
<label for="name">Username: </label>
<input type="text" name="name" /><br/>
<label for="password">Passwprd: </label>
<input type="password" name="password" /><br/>
<input type="submit" value="login" />
</form>
<p><?php echo $msg; ?></p>
</body>
</html>
这是我的测试页面。应该使用用户名和密码来保护和访问它。没有if(!isset($_SESSION['name'])) 或者如果我把它写成if(isset($_SESSION['name'])) 我可以访问页面，但是使用 !isset 我不能！
这里是代码（test.php）：
<?php
session_start();
require 'connect.php';
if(!isset($_SESSION['name'])){
header("location:index.php");
exit();
}
?>
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<title>Test</title>
</head>
<body>
<header>
</div>
wellcome
Hellos-.....
<br>
<a href="logout.php"><h2>Logout</h2></a>
</div>
</body>
</html>
这是我的注销代码（logout.php）：
<?php
session_start();
$_SESSION = array();
session_destroy();
if(!isset($_SESSION['name'])){
header("location:index.php");
}else{
echo"<h2> There was a problem with logging out!</h2>";
exit();
}
?>
【问题讨论】：
-
您在 bindValue 时忘记了
:符号 -
该页面仍然可以访问，但问题在于 test.php 页面中的 (!isset($_SESSION['name']))。
-
您在示例中设置了会话名称。此外，这是处理密码的**错误**方式。即使使用参数绑定和散列，也不应将密码传递给查询。
-
你在哪里保存 $_SESSION 信息？也许您应该在用户成功登录时分配
-
$_POST['name'] = $_SESSION['name'];然后if(isset($_SESSION['name']) && !empty($_SESSION['name'])){ // do something } else { // do something else }