当前位置：首页 > PHP

PHP实现注销登录

2026-02-16 20:31:39PHP

PHP 实现注销登录的方法

使用 session_destroy() 清除会话

通过调用 session_destroy() 函数可以彻底销毁当前会话的所有数据。在调用前需确保已启动会话（session_start()）。此方法会清除服务器端的会话数据，但不会立即清除客户端的会话 cookie。

<?php
session_start();
session_destroy();
header("Location: login.php"); // 重定向到登录页面
exit;
?>

清除特定会话变量

如果只需清除部分会话数据而非全部销毁，可以直接取消设置（unset()）特定会话变量。这种方式适用于需要保留部分用户信息的场景。

<?php
session_start();
unset($_SESSION['user_id']);
unset($_SESSION['username']);
header("Location: login.php");
exit;
?>

删除客户端会话 cookie

为了确保客户端浏览器中的会话 cookie 也被删除，需显式设置 cookie 过期时间为过去时。这能防止会话 ID 被重复利用。

<?php
session_start();
if (ini_get("session.use_cookies")) {
    $params = session_get_cookie_params();
    setcookie(
        session_name(),
        '',
        time() - 42000,
        $params["path"],
        $params["domain"],
        $params["secure"],
        $params["httponly"]
    );
}
session_destroy();
header("Location: login.php");
exit;
?>

结合 CSRF 保护的注销

在安全性要求较高的场景中，建议在注销请求中添加 CSRF 令牌验证。以下示例展示如何生成和验证令牌：

<?php
session_start();
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['csrf_token'])) {
    if (hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        session_destroy();
        header("Location: login.php");
        exit;
    } else {
        die('CSRF token validation failed');
    }
}
?>

完整实现示例

以下是一个包含 HTML 表单的完整注销实现，同时处理了会话销毁和 CSRF 保护：

PHP实现注销登录

<?php
// logout.php
session_start();

// 生成 CSRF 令牌（仅在未设置时）
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['logout'])) {
    if (hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
        session_unset();
        session_destroy();
        header("Location: login.php");
        exit;
    }
}
?>

<form method="post" action="logout.php">
    <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">
    <button type="submit" name="logout">Logout</button>
</form>