php
实现用户登录验证功能
>>>1 创建登录表单
登录表单的HTML代码如下：
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<title>User Login</title>
<style type="text/css">
<!—
.alert {color: red}
.textinput {width:160px}
.btn {width:80px}
table {border: 3px double;background-color:#eeeeee;}
-->
</style>
<script language="javascript">
<!--
function doCheck(){
if(document.frmLogin.username.value==""){
alert('请输入你的用户名！');
return false;
}
if(document.frmLogin.password.value==""){
alert('请输入你的密码！');
return false;
}
}
-->
</script>
</head>
<body>
<form name="frmLogin" method="post" action="login.php" onSubmit="return doCheck();">
<table border="0" cellpadding="8" width="350" align="center">
<tr><td colspan="2" align="center"></td></tr>
用户名：
<td><input name="username" type="text" id="username" class="textinput" /></td>
</tr>
<tr><td>密码：</td>
<td><input name="pwd" type="password" id="password" class="textinput" /></td>
</tr>
<tr><td colspan="2" align="center">
<input type="submit" value="登录">
<input type="reset" value="重置">
</td>
</tr>
</form>
</body>
</html>
将以上代码保存为login.php文件并在浏览器中运行，显示页面中的登录表单如图2-16所示。
显示页面的登录表单
>>>2 验证登录名和密码
用户在登录表单中输入登录信息之后，数据被提交回本页面login.php进行处理，下面在login.php的头部添加验证用户名和密码是否正确的代码。login.php代码更改如下：
<?php
require_once('common.php'); // 引入公共文件，其中实现了SQL注入漏洞检查的代码
$username = trim($_POST['username']);
// 取得客户端提交的密码并用md5()函数时行加密转换以便后面的验证
$pwd = md5($_POST['pwd']);
// 设置一个错误消息变量，以便判断是否有错误发生
// 以及在客户端显示错误消息。 其初值为空
$errmsg = '';
if (!empty($username)) { // 用户填写了数据才执行数据库操作
//---------------------------------------------------------
// 数据验证, empty()函数判断变量内容是否为空
if (empty($username)) {
$errmsg = '数据输入不完整';
}
//---------------------------------------------------------
if(empty($errmsg)) { // $errmsg为空说明前面的验证通过
// 调用mysqli的构造函数建立连接，同时选择使用数据库'test'
$db = @new mysqli("127.0.0.1", "developer", "123456", "test");
// 检查数据库连接
if (mysqli_connect_errno()) {
$errmsg = "数据库连接失败!
n";
}
else {
// 查询数据库，看用户名及密码是否正确
$sql = "SELECT * FROM t_user WHERE f_username='$username' AND f_password='$pwd'";
$rs = $db->query($sql);
// $rs->num_rows判断上面的执行结果是否含有记录，有记录说明登录成功
if ($rs && $rs->num_rows > 0) {
// 在实际应用中可以使用前面提到的重定向功能转到主页
$errmsg = "登录成功!";
}
else {
$errmsg = "用户名或密码不正确，登录失败!";
}
// 关闭数据库连接
$db->close();
}
}
}
?>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<title>User Login</title>
<style type="text/css">
<!--
.alert {color: red}
.textinput {width:160px}
.btn {width:80px}
table {border: 3px double;background-color:#eeeeee;}
-->
</style>
<script language="javascript">
<!--
function doCheck(){
if(document.frmLogin.username.value==""){
alert('请输入你的用户名！');
return false;
}
if(document.frmLogin.password.value==""){
alert('请输入你的密码！');
return false;
}
}
-->
</script>
</head>
<body>
<form name="frmLogin" method="post" action="login.php" onSubmit="return doCheck();">
<table border="0" cellpadding="8" width="350" align="center">
<tr><td colspan="2" align="center"><?echo $errmsg;?></td></tr>
用户名：
<td><input name="username" type="text" id="username" class="textinput" value="<?echo $username;?>" /></td>
</tr>
<tr><td>密码：</td>
<td><input name="pwd" type="password" id="password" class="textinput" /></td>
</tr>
<tr><td colspan="2" align="center">
<input type="submit" value="登录">
<input type="reset" value="重置">
</td>
</tr>
</form>
</body>
</html>
以粗体显示部分是新添的代码，大部分语句都已有详细注释。值得注意的是在HTML表单中添加的代码，其中在的第一行的单元格中加入PHP代码用以输 出服务 器端处理过程可能发生的错误或提示，另外在用户名的输入框标记的value属性中添加了PHP代码用以输出上次提交的用户名，以便因为输入密码错误而不能 登录的用户在重试的时候只需要输入密码。
再次运行login.php并在表单中输入数据尝试登录，登录成功与失败时的页面分别如图2-17和2-18所示。
登录成功页面 登录失败页面
>>>3 更新用户登录信息
用户信息表t_user中，f_logintimes字段用来记录用户的登录次数，f_lasttime字段用来记录用户最后一次登录的时 间，f_login字段用来记录用户最后一次登录用的IP，数据库中记录这些信息主要是为管理提供统计用户登录次数和用户地域分布的方便。这些数据在用户 每次登录后都要更新，下面来添加更新这些数据的代码。
打开login.php文件，将其头部的PHP代码更改如下：
<?php
......
if ($rs && $rs->num_rows > 0) {
// 在实际应用中可以使用前面提到的重定向功能转到主页
$errmsg = "登录成功!";
// 更新用户登录信息
$ip = $_SERVER['REMOTE_ADDR']; // 获取客户端的IP
$sql = "UPDATE t_user SET f_logintimes = f_logintimes + 1,";
$sql .= "f_lasttime=now(), f_loginip='$ip' ";
$sql .= " WHERE f_username='$username'";
$db->query($sql);
}
else {
$errmsg = "用户名或密码不正确，登录失败!";
}
......
?>
以上粗体部分为新添的代码，代码中首先从自动全局变量$_SERVER中获得客户端的IP地址，然后构造SQL语句并执行该语句以更新用户登录信 息。值得 注意的是该SQL语句中对f_lasttime的赋值是通过调用MySQL的内部函数now()来实现的，MySQL的now()函数返回的是服务器上的 当前时间。
>>>4 用Session保存用户信息
HTTP协议是无状态的。它完成的事情只是简单地发送请求到服务器，以及从服务器获取数据；除此之外一无所知，即使两次请求同一个PHP文件，它也不会认为两次请求之间有任何联系。
由于HTTP协议的无状态，这就使得无法在两个不同的请求之间共享信息，如无法记录“当前访问者”的信息。虽然在登录过程已经验证了用户的用户名与 密码是 正确的，但是当用户跳转到其他页面时，从登录页面获得的用户信息全部丢失，这是用户不希望发生的。同时，要求用户进入每一个页面时都要输入用户名与密码进 行验证又是不现实的，这就要求可以在不同页面之间共享信息。
一般来说，对于PHP以及其他的Web编程语言，可以使用Cookie或者是Session来解决这个问题。
Cookie是保存在客户端的一个小文件，可以将一些需要在页面间共享的资料存储在这个文件中。但Cookie有3个缺点：一是大小不可以超过 4KB（不 同的浏览器可能限制不同），二是用户可以在浏览器设置中禁用Cookie，三是Cookie是在客户端记录资料安全性较差。
Session一般是通过Cookie来实现的，如果用户禁用了Cookie，Session也同样失效。不同于Cookie的是，Session 只是把 一个信息的标识通过Cookie放在客户端而实际的信息却存放在服务器上，这样安全性能上有较大的提高。现在也有另外一种不通过Cookie而使用 Session的方法，即URL重写技术。这种方法是将Session的标识作为URL的参数与服务进行交互，其好处是不受客户端对Cookie禁用的限 制，缺点是使用起来较为麻烦。
在PHP中使用Session非常简单。PHP提供了一个自动全局变量$_SESSION用于处理Session。但是需要注意的是，如果在PHP 的配置 文件中没有设置自动启动Session的话，在使用Session之前一定要调用session_start()函数启动Session。
再次打开login.php，添加以下以粗体显示的代码，以记录用户信息。
<?
......
if ($rs && $rs->num_rows > 0) {
// 使用session保存当前用户
session_start();
$_SESSION['uid'] = $username;
// 在实际应用中可以使用前面提到的重定向功能转到主页
$errmsg = "登录成功!";
// 更新用户登录信息
$ip = $_SERVER['REMOTE_ADDR']; // 获取客户端的IP
$sql = "UPDATE t_user SET f_logintimes = f_logintimes + 1,";
$sql .= "f_lasttime=now(), f_loginip='$ip' ";
$sql .= " WHERE f_username='$username'";
$db->query($sql);
}
......
?>
不要滥用Session，Session最大的作用是在页面之间维持状态。许多初学者在掌握Session技术后，很容易将Session作为存储 数据的 法宝，在Session里放置很多数据。由于这些数据直到Session过期才会被释放，因此会给服务器带来很大的负担。
2.7.5 判断用户是否已登录
既然上一小节已经完成了将用户名保存到Session中的工作，判断用户是否已经登录就很简单，代码如下：
<?php
session_start();
if (empty($_SESSION['uid'])) {
echo "您还没有登录，不能访问当前页面！";
exit;
}
?>
通过判断自动全局变$_SESSION中的uid是否为空，就可以判断用户是否已经登录。如果用户没有登录，就提示其无法访问当前页面，并终止程序的运行（或者使用一条重定向语句将页面导向登录页）。
php简单留言本（三）——添加用户登录和验证功能
增加的修改删除操作当然应该只有管理员才能使用，现在就说说怎么实现用户登录的功能。用户登录和验证是大部分网站都具备的功能，我们当然应该学一学怎样实现。
添加登录表单
1、关于Session。
一个web网站的用户登录及验证，通常是通过服务器设置和检查Session变量完成的。Session义为会话，顾名思义是服务器与客户端之间的一种协议，由服务器创建并只能由服务器访问、修改。客户端浏览器关闭后Session变量自动注销，服务器也可手动注销。客户端无法获取得到任何Session变量名和变量值，这就保障了Session机制的安全性。
在php中，要使用Session变量必须先在代码页的开始处调用函数
session_start();
来开启Session功能。php4之后的版本推荐直接使用
$_SESSION["user"]="admin";
的方式直接创建使用Session变量，用
unset($_SESSION["user"]);
注销Session变量，用
isset($_SESSION["user"])
检查Session变量是否被使用。
2、在index.php中添加登录表单代码。
<?
// index.php
require("functions.php");
session_start();
$conn=mysql_open();
?>
...
<h3>管理登录</h3>
<? if(!isset($_SESSION["user"])): ?>
<form name="login" method="post" action="login.php">
用户名：<input name="username" type="text" maxlength="20" />
密码：<input name="password" type="password" maxlength="32" />
<input type="submit" name="submit" value="登录" />
<input type="reset" name="reset" value="重置" />
</form>
<? else: ?>
已登录用户：<?= $_SESSION["user"] ?>
<a href="logout.php">退出登录</a>
<? endif; ?>
...
这里对于用户登录与否的不同情况应该显示不同的内容，未登录用户显示登录表单，已登录用户则显示用户名和管理功能按钮。
另外，这里的if-else控制结构使用了另一种替代语法，即
if(condition1):
statement1;
elseif(condition2):
statement2;
else:
statement3;
endif;
这种语法对于执行部分是html代码的混合结构十分有用，正如上面的登录表单代码。类似的，while、for等控制结构也有相应的替代语法。
实现登录及退出操作
1、在数据库phpEx_1中建立数据表user。
表格式为：username VARCHAR(10) PRIMARY KEY, password VARCHAR(32)。
添加一个新行，username='admin'，password='21232f297a57a5a743894a0e4a801fc3'。其中password的值是字符串"admin"的MD5值，关于MD5在下一部分“密码及身份验证”中将具体说明。
2、建立文件login.php实现登录操作。
<?
// login.php
require("functions.php");
session_start();
$conn=mysql_open();
$query="select * from user where username='$username'";
$result=mysql_query($query);
$rs=mysql_fetch_object($result);
if($rs==false)
error("用户名不存在！");
elseif($rs->password!=md5($password))
error("密码不正确！");
else
{
$_SESSION["user"]=$rs->username;
noerr(NULL,"index.php");
}
?>
其中md5($password)函数返回$password字符串的MD5值，关于这里的密码验证机制在下一部分“密码及身份验证”中将具体说明。
打开数据库，查询表单提交的用户名，如果查找不到则用户名不存在；查找到则比较提交密码的MD5值与数据库中保存的MD5值，不相同则是密码输入错误；用户名密码正确，设置Session变量，页面跳转返回主页。
3、建立文件logout.php实现退出登录操作。
<?
// logout.php
require("functions.php");
session_start();
unset($_SESSION["user"]);
noerr(NULL,"index.php");
?>
密码及身份验证
1、关于MD5。
MD5是一个Hash函数（又称散列函数、哈希函数），对于任意的数据串，均生成一个128位的MD5值。这个函数有三个主要性质：(1) 对于数据串的一个细微改变，都会引起函数值的巨大改变，这被称为雪崩效应；(2) 对于任意的两个不同的数据串，几乎不可能产生相同的MD5值；(3) 由一个MD5值不可能用反向的数学推导得到原始字符串。基于(1)(2)这两个重要性质，我们可以使用它来验证两个数据串是否相等而不必知道这两个数据串的具体内容，只需比较它们的MD5值是否相等即可。
2、密码验证体制。
一般的web用户登录验证系统都只在数据库中存储密码的MD5值，而在用户登录的时候比较输入密码的MD5值与数据库中存储的值是否相等。这就使得任何人包括系统管理员也无法得知用户的密码，因为根据性质(3)，由密码的MD5值无法反向推导得到密码的原始值。
3、身份验证方法。
只需要检查相应的Session变量是否被设置即可。在需要进行身份验证的地方添加如下代码：
if(!isset($_SESSION["user"]))error("您还没有登录！");
在Session未设置的情况下，提示错误并返回。
注意如果没有开启Session功能，还必须在该代码页首添加代码：
session_start();
例如我们可以修改index.php中[修改|删除]链接只在用户已登录的时候显示：
<?
// index.php
...
while($rs=mysql_fetch_object($result))
{
echo "$rs->name 在 $rs->posttime 说：$rs->contentn";
if(isset($_SESSION["user"]))
{
echo "[<a href=modify.php?id=$rs->id>修改</a>|";
echo "<a href=remove.php?id=$rs->id";
echo " onclick='javascript:return confirm("确定删除？");'>删除</a>]n";
}
if($rs->posttime!=$rs->modtime)
echo "<font color=gray>[该留言于 $rs->modtime 被修改过]</font>n";
echo "<br>n";
}
...
?>
[注] 以上代码缩进全部使用全角空格，直接复制粘贴必然出错，需替换为制表符或空格。
