本文详解如何避免“undefined array key ‘login_attempts’”错误，通过合理初始化会话变量、实现登录失败计数与账户锁定机制，确保登录安全逻辑健壮可靠。

在 PHP 会话（$_SESSION）中使用未声明的键（如 “login_attempts”）会触发 Warning: Undefined array key 错误——正如你在第 114 行遇到的问题：$_SESSION[“login_attempts”] > 2 在该变量尚未被定义时直接访问，PHP 无法读取一个不存在的数组键。

根本原因在于：$_SESSION[“login_attempts”] 仅在登录失败分支中执行 += 1 操作，但首次访问前从未初始化。PHP 不允许对未定义的会话变量执行自增（+=），它不会自动设为 0，而是抛出警告并视其为 NULL，后续比较（如 > 2）将产生不可预期行为（例如 NULL > 2 返回 false，但伴随警告）。

✅ 正确做法：在任何读写前显式初始化该会话变量。推荐在会话启动后、业务逻辑开始前统一初始化：

此外，原逻辑中存在两个关键隐患，需同步修正：
立即学习“PHP免费学习笔记（深入）”；


								


									Firebase Studio

谷歌推出的AI全栈开发平台

								下载 
							

? 1. 锁定逻辑位置错误
你将锁定判断（if ($_SESSION["login_attempts"] > 2)）放在 HTML 输出阶段（表单渲染处），但此时登录验证早已完成，且该判断未区分是否已锁定，导致即使用户已被锁定，仍可能重复触发计数或绕过限制。
✅ 应将其移至登录验证流程中，并与解锁检查合并：
// 在处理 POST 请求后、重定向前插入：
if (isset($_POST["user"]) && !isset($_SESSION["user"])) {
    // ... 验证逻辑（略）...

    if (!isset($_SESSION["user"])) {
        // ✅ 先确保 login_attempts 已初始化（上面已做）
        $_SESSION["login_attempts"]++;

        // ✅ 检查是否达到锁定阈值（例如 3 次失败）
        if ($_SESSION["login_attempts"] >= 3) {
            $_SESSION["locked"] = time();
            $_SESSION["error"] = "Account locked for 10 seconds due to too many failed attempts.";
        } else {
            $_SESSION["error"] = "Invalid credentials!";
        }
    }
}
? 2. 解锁检查需前置且严谨
原解锁逻辑（$difference > 10）位于脚本开头，但若用户尚未锁定（$_SESSION["locked"] 未设），time() - $_SESSION["locked"] 会因 $_SESSION["locked"] 为 NULL 导致计算异常（如 time() - NULL → 0）。应先确认 locked 存在且为整型：
// 安全的解锁检查（放在初始化之后）
if (isset($_SESSION["locked"]) && is_int($_SESSION["locked"])) {
    $lockedSince = $_SESSION["locked"];
    if (time() - $lockedSince > 10) {
        unset($_SESSION["locked"], $_SESSION["login_attempts"]);
        $_SESSION["error"] = "Lock expired. You may try again.";
    }
}
? 完整关键修复段（整合建议）
 0,
    "locked"         => 0,
    "error"          => ""
];

// ✅ 2. 安全解锁检查
if ($_SESSION["locked"] && (time() - $_SESSION["locked"] > 10)) {
    unset($_SESSION["locked"], $_SESSION["login_attempts"]);
}

// ✅ 3. 登录处理（含计数与锁定）
if (isset($_POST["user"]) && !isset($_SESSION["user"])) {
    $users = ["admin" => "123456"];

    $validUser = isset($users[$_POST["user"]]) && $users[$_POST["user"]] === $_POST["password"];

    if ($validUser) {
        $_SESSION["user"] = $_POST["user"];
        $_SESSION["login_attempts"] = 0; // 重置计数
        header("Location: index.php");
        exit();
    } else {
        // ❗仅当未锁定时才增加计数
        if (!$_SESSION["locked"]) {
            $_SESSION["login_attempts"]++;
        }

        if ($_SESSION["login_attempts"] >= 3) {
            $_SESSION["locked"] = time();
            $_SESSION["error"] = "Too many attempts! Account locked for 10 seconds.";
        } else {
            $_SESSION["error"] = "Invalid username or password.";
        }
    }
}
?>
⚠️ 注意事项


永远不要在未 isset() 检查前直接读取 $_SESSION[$key]，尤其用于算术或条件判断；
使用 $_SESSION += [...] 是简洁初始化多个键的安全方式；
锁定时间建议使用服务端绝对时间（time()），避免客户端时间篡改；
生产环境应结合 IP 限流、验证码、数据库持久化等增强安全性。

通过以上结构化初始化与流程优化，即可彻底消除 Undefined array key 警告，并构建可信赖的登录防护机制。
https://www.php.cn/faq/2031402.html