PHP如何在Linux上实现安全登录

在Linux环境下用PHP搭建一个安全的登录系统，听起来像是个老生常谈的话题，但真正做扎实了，里面每一环都藏着坑。今天咱们就挨个拆解一下，从数据库到会话管理，再到防御SQL注入和XSS，争取一次把基础打牢。

1. 数据库设计

先来聊聊数据库设计。你需要一张存放用户信息的表，这里以MySQL为例，建表语句如下：

CREATE TABLE users (
    id INT AUTO_INCREMENT PRIMARY KEY,
    username VARCHAR(50) NOT NULL UNIQUE,
    password VARCHAR(255) NOT NULL
);

注意字段长度：password设置成255位，这是因为后面要用哈希算法，哈希值长度不固定，留足空间才稳妥。

2. 密码加密

密码存储这步，千万别用MD5或者SHA1——那些早就被玩烂了。PHP内置的password_hash()才是正解，它会自动选择强哈希算法并加盐，省心又安全。登录验证时再用password_verify()比对就行。

$username = $_POST['username'];
$password = $_POST['password'];

// 连接数据库
$conn = new mysqli('localhost', 'username', 'password', 'database');
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// 查询用户
$sql = "SELECT id, username, password FROM users WHERE username = ?";
$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $username);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    $user = $result->fetch_assoc();
    if (password_verify($password, $user['password'])) {
        // 密码正确，创建会话
        session_start();
        $_SESSION['user_id'] = $user['id'];
        $_SESSION['username'] = $user['username'];
        echo "Login successful!";
    } else {
        echo "Invalid password.";
    }
} else {
    echo "User not found.";
}
$stmt->close();
$conn->close();

看到没？校验密码就是一行password_verify，PHP7以后默认使用bcrypt，安全性有保障。

3. 会话管理

登录成功后，需要用Session来维持用户状态。PHP的Session机制已经足够成熟，但有一个关键点容易被忽略——一定要在输出任何内容之前调用session_start()。

session_start();
if (isset($_SESSION['user_id'])) {
    echo "Welcome, " . $_SESSION['username'] . "!";
} else {
    // 登录表单
    if ($_SERVER["REQUEST_METHOD"] == "POST") {
        // 登录逻辑（如上所示）
    }
}

另外，建议在登录成功时生成新的Session ID（用session_regenerate_id()），防止会话固定攻击。

4. 防止SQL注入

这是老生常谈，但也是新手最容易翻车的地方。一句话：永远不用拼接SQL字符串，改用预处理语句（Prepared Statements）。上一步代码里的bind_param就是标准做法，参数化查询直接把注入风险扼杀在摇篮里。

$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $username);
$stmt->execute();

5. 防止跨站脚本攻击（XSS）

但凡用户输入的数据要在页面上显示，都得经过htmlspecialchars()转义。比如显示登录后的用户名：

echo htmlspecialchars($username);

别嫌麻烦，恶意脚本往往就藏在这些不起眼的地方。

6. 安全配置

光写代码还不够，服务器环境也得跟上。PHP这边建议禁用危险函数（如exec、system），MySQL那边要移除默认的test数据库和匿名用户。还有——务必开启HTTPS，否则密码在传输过程中就裸奔了。

7. 错误处理

生产环境里千万别把详细的错误信息抛给用户，那等于给攻击者递武器。正确的做法是在开发时开启错误显示，上线后关闭并记录日志：

ini_set('display_errors', 0);
ini_set('log_errors', 1);

8. 定期更新

最后一条，也是很多人容易忽视的：定期升级PHP和MySQL版本。安全漏洞像韭菜，割了一茬又长一茬，唯有保持更新才能跟上节奏。

以上这些步骤串联起来，就是一个基本牢靠的登录系统了。当然，实际项目里还需要考虑验证码、限制登录尝试次数、CSRF防护等，不过那是后话了——先把地基夯实比什么都重要。