在Ubuntu上使用PHP实现用户认证与授权

想在Ubuntu系统上为你的PHP应用搭建一套可靠的用户认证与授权体系？别担心，这个过程其实有清晰的路径可循。核心步骤通常围绕环境准备、数据存储、注册登录逻辑以及权限控制展开。下面，我们就来一步步拆解这个流程。

1. 安装必要的软件包

万事开头先筑基。首先得确保你的Ubuntu系统已经装备好了所需的运行环境。这通常包括Web服务器（Apache或Nginx）、PHP解释器以及数据库（比如MySQL或PostgreSQL）。一条简单的命令就能搞定基础安装：

sudo apt update
sudo apt install apache2 php libapache2-mod-php php-mysql

当然，如果你偏好Nginx或者其他数据库，替换对应的软件包名称即可。这一步的目标是搭建一个能让PHP应用顺畅跑起来的“三件套”。

2. 创建数据库和用户表

环境就绪后，接下来得给用户数据找个“家”。我们需要在数据库里创建一个专用的表来存放用户的核心信息，比如用户名、加密后的密码和邮箱。

CREATE DATABASE user_db;
USE user_db;

CREATE TABLE users (
    id INT AUTO_INCREMENT PRIMARY KEY,
    username VARCHAR(50) NOT NULL UNIQUE,
    password VARCHAR(255) NOT NULL,
    email VARCHAR(100) NOT NULL UNIQUE
);

这里有几个设计要点：username和email字段通常设为唯一（UNIQUE），防止重复注册；password字段要留足长度，因为存储的是哈希值，而非明文。

3. 注册用户

现在，是时候让用户能够“安家落户”了。创建一个PHP注册脚本（例如register.php），它的核心任务就是安全地接收用户提交的信息，并将其存入数据库。

安全存储密码是关键中的关键。切记，绝对不要明文保存密码。PHP内置的password_hash()函数就是为此而生的，它会生成一个安全的、单向的哈希值。

connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $username = $_POST['username'];
    // 对密码进行哈希处理，这是安全存储的第一步
    $password = password_hash($_POST['password'], PASSWORD_DEFAULT);
    $email = $_POST['email'];

    // 使用预处理语句防止SQL注入
    $sql = "INSERT INTO users (username, password, email) VALUES (?, ?, ?)";
    $stmt = $conn->prepare($sql);
    $stmt->bind_param("sss", $username, $password, $email);

    if ($stmt->execute()) {
        echo "New record created successfully";
    } else {
        echo "Error: " . $sql . "
" . $conn->error;
    }
    $stmt->close();
    $conn->close();
}
?>



    


    

        Username: 

        Password: 

        Email: 

        
    

注意到代码中使用了预处理语句（prepare和bind_param）吗？这能有效抵御SQL注入攻击，是编写数据库操作时一个必须养成的好习惯。

4. 用户登录

用户注册后，自然需要登录入口。登录脚本（login.php）的逻辑是验证用户提交的凭证是否与数据库记录匹配。

这里会用到password_verify()函数，它是password_hash()的搭档，专门用来核对密码哈希值是否匹配。验证成功后，我们通常使用会话来跟踪用户的登录状态。

connect_error) {
        die("Connection failed: " . $conn->connect_error);
    }

    // 查询用户
    $sql = "SELECT id, username, password FROM users WHERE username = ?";
    $stmt = $conn->prepare($sql);
    $stmt->bind_param("s", $username);
    $stmt->execute();
    $result = $stmt->get_result();

    if ($result->num_rows > 0) {
        $user = $result->fetch_assoc();
        // 核验密码哈希值
        if (password_verify($password, $user['password'])) {
            // 登录成功，设置会话变量
            $_SESSION['loggedin'] = true;
            $_SESSION['id'] = $user['id'];
            $_SESSION['username'] = $user['username'];
            header("Location: welcome.php");
            exit;
        } else {
            echo "Invalid username or password.";
        }
    } else {
        echo "Invalid username or password.";
    }
    $stmt->close();
    $conn->close();
}
?>



    


    

        Username: 

        Password: 

        
    

登录成功的标志，就是将用户标识（如ID、用户名）存入$_SESSION超全局变量中，这样就能在后续的页面请求中识别出用户身份。

5. 授权

用户登录了，但并非所有页面都应对所有人开放。这时就需要授权机制——检查用户是否有权限访问特定资源。一个常见的做法是创建一个授权检查文件（比如auth.php），在需要保护的页面开头包含它。

    


    Welcome, !
    Logout

这个auth.php文件就像一个“关卡”，任何试图直接访问受保护页面（如welcome.php）的请求，都会先经过它的检查。未登录？抱歉，请先移步登录页。这种模式简单而有效。

6. 注销

有登录就得有注销，这是用户体验的完整闭环。注销脚本（logout.php）的工作很简单：销毁当前会话，并引导用户回到登录页面。