PHP 使用者身份驗證兩大實作：HTTP Basic Auth 與 Session 驗證

方法一：HTTP Basic Authentication

瀏覽器原生彈出登入框，憑證透過 HTTP 標頭傳遞。

流程

1. 檢查 $PHP_AUTH_USER、$PHP_AUTH_PW（需 PHP 模組模式，CGI 模式不可用）。
2. 未設定 → 送出 WWW-Authenticate: Basic realm="..." + HTTP/1.0 401 Unauthorized。
3. 瀏覽器彈窗輸入帳密 → 重新請求帶上 Authorization: Basic base64(user:pass)。
4. 驗證通過 → 允許存取；失敗 → 再次送 401。

程式碼（搭配 MySQL）

<?php
if (!isset($_SERVER['PHP_AUTH_USER'])) {
    header('WWW-Authenticate: Basic realm="Members Area"');
    header('HTTP/1.0 401 Unauthorized');
    exit('身份驗證失敗');
}

$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = ? AND password = ?');
$stmt->execute([$_SERVER['PHP_AUTH_USER'], $_SERVER['PHP_AUTH_PW']]); // 實務應用密碼雜湊驗證
if (!$stmt->fetch()) {
    header('WWW-Authenticate: Basic realm="Members Area"');
    header('HTTP/1.0 401 Unauthorized');
    exit('帳號或密碼錯誤');
}
// 驗證通過，顯示受保護內容
echo "歡迎，{$_SERVER['PHP_AUTH_USER']}";

方法二：Session 驗證（適用 CGI、IIS、自訂登入頁）

登入頁 login.php

<form action="login_check.php" method="POST">
  帳號：<input name="username"><br>
  密碼：<input name="password" type="password"><br>
  <button type="submit">登入</button>
</form>

驗證邏輯 login_check.php

<?php
session_start();
$pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
$stmt = $pdo->prepare('SELECT id, username FROM users WHERE username = ? AND password = ?');
$stmt->execute([$_POST['username'], $_POST['password']]); // 實務用 password_verify()
if ($user = $stmt->fetch()) {
    $_SESSION['user_id'] = $user['id'];
    $_SESSION['username'] = $user['username'];
    header('Location: protected.php');
    exit;
}
echo '登入失敗';

受保護頁面 protected.php

<?php
session_start();
if (empty($_SESSION['user_id'])) {
    header('Location: login.php');
    exit;
}
echo "歡迎，{$_SESSION['username']}";

比較表

最佳實務建議

• 生產環境強制 HTTPS，否則帳密/Session ID 明文傳輸。
• 密碼儲存使用 password_hash() + password_verify()。
• Session 設定 session.cookie_httponly=1, session.cookie_secure=1, session.use_strict_mode=1。
• 考慮引入成熟套件（如 laminas/laminas-authentication, Laravel Auth, Symfony Security）。

1. 上一篇文章： PHP 表單處理六大經典範例：POST、GET、單選、多選、核取方塊、黏性表單
2. 下一篇文章： PHP cURL 處理 301/302 重導向失效問題：safe_mode 與 open_basedir 限制

PHP 綜合知識

PHP 簡單留言板與回復功能完整實現

數據庫結構設計 留言板核心表結構包含以下字段： id：主鍵

PHP 讀取富文本時 p 標籤出現紅線問題解決方案

在 PHP 開發中，當使用編輯器（如 PhpStorm、VS

Eclipse 整合 PHP 開發環境：PDT 插件安裝、Xdebug 遠端除錯配置與常見問題排解

為何選 Eclipse + PDT？ 統一 Android

PHP array_slice 與 array_splice 函數深度解析與差異比較

前言 PHP 提供兩個外觀相似但功能截然不同的陣列切片函數：