使用 Codeigniter 的页面安全脚本。我走在正确的道路上吗？

Question

我正在创建一个功能来在用户未登录的情况下保护我的管理页面。我是否以正确的方式执行此操作。我的所有管理页面都包含以下功能。

在允许访问我的管理页面以获得安全页面之前，我还应该检查什么？

    function is_logged_in_admin()
    {
    $CI =& get_instance();
    $is_logged_in = $CI->session->userdata('is_logged_in');
    $username = $CI->session->userdata('username');
    $status = $CI->session->userdata('status');
       if(!isset($is_logged_in) || $is_logged_in != true)
       {
       redirect('auth/login',location);
       } 

    if(!$username == 'myeswr')
       {
       redirect('auth/login',location);
       } 

    if(!$status == '1')
       {
       redirect('auth/resend_activation',location);
       } 
}

Answer 1

使用此处的代码，可以在没有意图的情况下授予权限。这不太可能，但如果由于某种原因，您的代码中某处存在 if #1 的逻辑错误（不是语法错误），则您不会被重定向，而其他 2 个会失败。

我建议使用 if.. elseif.. elseif.. else。最后的 else 是重定向到登录，作为故障保护。

您可能还想检查登录长度（或者仅使用 CI 的内置会话长度）。