PHP登录系统安全与优化：从密码验证到SQL注入防护

<?php
session_start();
include('includes/config.php'); // 包含数据库连接配置

if(isset($_POST['signin'])) {
    $username = strtolower($_POST['username']);
    $password = $_POST['password'];

    // SQL查询，使用占位符避免SQL注入（后续会详细介绍预处理语句）
    $sql = "SELECT emp_id, Password, role, Department FROM tblemployees WHERE EmailId = '$username'";
    $query = mysqli_query($conn, $sql);
    $row = mysqli_fetch_assoc($query); // 只获取一次结果行

    if($row) { // 如果找到了用户
        $passwordCheck = $row['Password'];
        if(!password_verify($password, $passwordCheck)) {
            // 密码不匹配
            echo "<script>alert('错误的邮箱或密码，请重试。');</script>";
        } else {
            // 密码匹配，设置会话并重定向
            $_SESSION['alogin'] = $row['emp_id'];
            $_SESSION['arole'] = $row['Department'];

            // 根据用户角色进行重定向
            if ($row['role'] == 'Admin') {
                echo "<script type='text/javascript'> document.location = 'admin/admin_dashboard.php'; </script>";
            } elseif ($row['role'] == 'Staff') {
                echo "<script type='text/javascript'> document.location = 'staff/index.php'; </script>";
            } else { // 默认或其他角色
                echo "<script type='text/javascript'> document.location = 'heads/index.php'; </script>";
            }
        }
    } else {
        // 未找到用户（邮箱不存在）
        echo "<script>alert('错误的邮箱或密码，请重试。');</script>";
    }
}
?>

<?php
session_start();
include('includes/config.php'); // 确保数据库连接已建立

if(isset($_POST['signin'])) {
    $username = strtolower($_POST['username']);
    $password = $_POST['password'];

    // 1. 准备SQL语句，使用问号作为参数占位符
    $sql = "SELECT emp_id, Password, role, Department FROM tblemployees WHERE EmailId = ?";
    $stmt = mysqli_prepare($conn, $sql); // 创建预处理语句对象

    if ($stmt === false) {
        // 错误处理：预处理语句创建失败
        error_log("Failed to prepare statement: " . mysqli_error($conn));
        echo "<script>alert('系统错误，请稍后再试。');</script>";
        exit;
    }

    // 2. 绑定参数：'s' 表示字符串类型，绑定 $username
    mysqli_stmt_bind_param($stmt, "s", $username);

    // 3. 执行语句
    mysqli_stmt_execute($stmt);

    // 4. 获取结果集
    $query_result = mysqli_stmt_get_result($stmt);
    $row = mysqli_fetch_assoc($query_result); // 只获取一次结果行

    if($row) { // 如果找到了用户
        $passwordCheck = $row['Password'];
        if(!password_verify($password, $passwordCheck)) {
            // 密码不匹配
            echo "<script>alert('错误的邮箱或密码，请重试。');</script>";
        } else {
            // 密码匹配，设置会话变量
            $_SESSION['alogin'] = $row['emp_id'];
            $_SESSION['arole'] = $row['Department'];

            // 根据用户角色进行重定向
            if ($row['role'] == 'Admin') {
                echo "<script type='text/javascript'> document.location = 'admin/admin_dashboard.php'; </script>";
            } elseif ($row['role'] == 'Staff') {
                echo "<script type='text/javascript'> document.location = 'staff/index.php'; </script>";
            } else { // 默认或其他角色
                echo "<script type='text/javascript'> document.location = 'heads/index.php'; </script>";
            }
        }
    } else {
        // 未找到用户（邮箱不存在）
        echo "<script>alert('错误的邮箱或密码，请重试。');</script>";
    }

    // 5. 关闭语句
    mysqli_stmt_close($stmt);
}
?>

<?php
session_start(); // 务必在任何输出之前调用

// 检查HTTP_REFERER（可选，但通常不建议作为安全机制，因为它容易被伪造）
if(!isset($_SERVER['HTTP_REFERER'])){
    header('Location: custom_404.html');
    exit;
}

// 检查会话变量是否存在且不为空，以判断用户是否已登录
if (!isset($_SESSION['alogin']) || (trim($_SESSION['alogin']) == '')) {
    // 如果未登录，重定向到登录页
    echo "<script>window.location = '../index.php';</script>";
    // 更好的做法是使用PHP的header重定向，以避免潜在的JS执行问题
    // header('Location: ../index.php');
    // exit;
}

// 如果已登录，获取会话信息
$session_id = $_SESSION['alogin'];
$session_depart = $_SESSION['arole'];
?>