PHP用户注册登录与权限验证是Web开发中的基础功能，但真正实现安全防护的开发者并不多。关键在于构建从注册到每一次请求都可信的数据流：密码如何存储？登录如何比对？后续请求中如何确认身份与权限？这三个环节环环相扣，任何一环缺失都可能引发严重安全漏洞。
用户注册：使用password_hash()加密密码是关键
将密码明文存储或使用MD5加盐的方式，在当今安全环境下已形同虚设。PHP早已提供了成熟的解决方案——password_hash()，默认采用bcrypt算法，自动加盐，抗暴力破解能力远超自行编写的方案。
- 表单提交后，首先获取用户名、邮箱、密码等字段，并过滤空值及非法字符（推荐使用
filter_var()函数）。 - 加密操作直接调用 password_hash($_POST['password'], PASSWORD_ARGON2ID) 或 PASSWORD_DEFAULT。若PHP版本≥7.3，强烈建议选用Argon2ID，其安全性优于bcrypt。
- 将用户名、邮箱、加密后的密码、注册时间等信息存入数据库（如MySQL的users表），务必使用PDO预处理语句，防止SQL注入。
- 注册成功后跳转至登录页，失败时给出模糊提示（如“注册失败”），避免暴露“用户名已存在”等细节，防止恶意用户通过枚举试探已注册账号。
用户登录：验证密码、生成会话并防止暴力破解
登录环节的核心并非比对明文密码，而是通过 password_verify() 校验哈希值。同时需防范脚本进行的暴力破解攻击。
- 接收账号（支持用户名或邮箱登录），首先查询数据库确认账号是否存在。
- 若存在，调用 password_verify($input_pwd, $stored_hash) 判断密码是否匹配。
- 验证通过后启动会话：session_start()，并向 $_SESSION 存入关键信息，如 $_SESSION['user_id'] = $row['id']; $_SESSION['role'] = $row['role'];。
- 建议记录登录IP与时间，连续5次失败后锁定账户15分钟（可通过Redis或数据库标记）。此方法对暴力破解极为有效。
- 登录页可添加简单图形验证码（使用GD库生成），虽非强制，但能阻挡大部分自动化工具。
权限验证：按角色或权限点动态控制访问
注意：前端隐藏菜单仅为障眼法，真正的安全防线在后端。每个需要保护的页面或接口，都必须独立校验权限。
- 登录后，所有受控页面开头需添加权限检查逻辑，例如：if (!isset($_SESSION['user_id'])) { header('Location: login.php'); exit; }
- 权限模型可按角色划分（如 'admin' / 'editor' / 'user'），也可细化至具体操作（如 'post:create', 'user:delete'）。这些权限信息存储在数据库的 roles 或 permissions 表中。
- 加载用户权限时，建议一次性查询并存入 $_SESSION['permissions']，避免每次请求都查询数据库，提升效率。
- 在具体操作前进行判断：if (!in_array('post:edit', $_SESSION['permissions'])) { die('无权操作'); }
- 敏感操作（如删除数据、转账）强烈建议二次确认，并增加当前密码验证，为安全增加一道屏障。
安全加固要点：避免前期努力付诸东流
基础功能运行正常仅是起点，生产环境仍需应对诸多潜在风险。以下要点缺一不可。
- 强制启用HTTPS：密码在传输过程中若被截获，所有加密都将失效。通过.htaccess或Nginx配置301跳转，将HTTP流量全部转向HTTPS。
- Session安全配置：登录成功后，调用 session_regenerate_id(true) 防止会话固定攻击。同时设置 session.cookie_httponly = 1 和 session.cookie_secure = 1，确保Cookie仅通过HTTPS传输，且无法被JavaScript读取。
- 密码重置流程：生成一次性Token（存入数据库，附带过期时间），通过邮箱发送重置链接。链接中避免暴露用户ID，防止被猜测。
- CSRF防护：所有关键表单（注册、登录、修改密码等）均需添加随机Token，存储在session中，提交时比对。此举可有效防御跨站请求伪造。
- 错误信息脱敏：数据库报错、文件路径等内部信息切勿直接输出给用户。统一返回友好提示，如“系统繁忙，请稍后再试”。
