PHP의 인증 및 액세스 제어 모범 사례

$password = "my_password";
$hash = password_hash($password, PASSWORD_DEFAULT);

$username = $_POST['username'];
$password = $_POST['password'];

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();

$user = $stmt->fetch();

session_start();

//登录验证
if (isset($_POST['login'])) {
    $username = $_POST['username'];
    $password = $_POST['password'];

    // 验证用户名和密码是否正确
    if ($username === 'admin' && $password === 'password') {
        // 保存用户身份
        $_SESSION['username'] = $username;
    } else {
        // 登录验证失败
        echo "登录失败";
    }
}

// 访问控制
if (!isset($_SESSION['username'])) {
    // 如果用户没有登录，重定向到登录页面
    header("Location: login.php");
    exit;
}

// 用户已登录，显示受限资源
echo "欢迎, ".$_SESSION['username']."!";

function checkAccess($required_roles) {
    $user_role = $_SESSION['role'];

    if (!in_array($user_role, $required_roles)) {
        // 用户权限不足，重定向到一个错误页面
        header("Location: error.php");
        exit;
    }
}

// 限制admin角色用户才能访问的资源
checkAccess(['admin']);

// 允许admin和manager角色用户访问的资源
checkAccess(['admin', 'manager']);

// 允许所有角色用户访问的资源
checkAccess(['admin', 'manager', 'user']);