本文详解如何解决“undefined array key ‘login_attempts’”警告，通过安全初始化会话变量、合理控制登录失败次数及账户锁定逻辑，构建健壮的登录防护机制。

在PHP会话中直接对未定义的数组键（如 $_SESSION[“login_attempts”]）执行自增操作（+= 1）或比较操作（如 > 2），将触发 Warning: Undefined array key 错误。根本原因在于：$_SESSION[“login_attempts”] 在首次访问时未被初始化，PHP无法对其执行算术运算。

✅ 正确做法：显式初始化会话计数器

应在任何读取或修改 $_SESSION[“login_attempts”] 之前，确保其存在且为整数类型。推荐在会话启动后、业务逻辑前统一初始化：

⚠️ 注意：不要用 empty() 替代 isset() 判断——因为 $_SESSION["login_attempts"] = 0 是合法有效值（表示已失败0次），而 empty(0) 返回 true，会导致误重置。
? 完整修复后的核心逻辑（整合建议）
将原代码中分散的逻辑重构为清晰、防错的流程：


								


									BgSub

免费的AI图片背景去除工具

								下载 
							

// --- 1. 初始化（必须放在最前）---
session_start();
$_SESSION += ["login_attempts" => 0, "locked" => 0]; // 批量安全赋默认值

// --- 2. 解锁检查：若已锁定且超时，自动清除状态 ---
if ($_SESSION["locked"] > 0) {
    $lockDuration = 10; // 秒
    if (time() - $_SESSION["locked"] > $lockDuration) {
        $_SESSION["locked"] = 0;
        $_SESSION["login_attempts"] = 0; // 重置计数
    }
}

// --- 3. 处理登录提交 ---
if ($_SERVER["REQUEST_METHOD"] === "POST" && !isset($_SESSION["user"])) {
    $users = ["admin" => "123456"];
    $user = $_POST["user"] ?? "";
    $pass = $_POST["password"] ?? "";

    if (!empty($user) && !empty($pass) && isset($users[$user]) && $users[$user] === $pass) {
        $_SESSION["user"] = $user;
        $_SESSION["login_attempts"] = 0; // 登录成功，重置计数
        header("Location: index.php");
        exit();
    } else {
        // ❌ 登录失败：先校验输入，再递增计数
        if (empty($user) || empty($pass)) {
            $_SESSION["error"] = "MISSING INPUT! Please enter both username and password.";
        } else {
            $_SESSION["login_attempts"]++; // ✅ 现在可安全自增
            $_SESSION["error"] = "INVALID CREDENTIALS!";

            // ? 触发锁定：达到阈值时记录锁定时间
            if ($_SESSION["login_attempts"] >= 3) {
                $_SESSION["locked"] = time();
                $_SESSION["error"] = "ACCOUNT LOCKED! Please wait 10 seconds.";
            }
        }
        $failed = true;
    }
}

// --- 4. 登录表单渲染逻辑 ---
if (isset($_SESSION["locked"]) && $_SESSION["locked"] > 0) {
    $remaining = 10 - (time() - $_SESSION["locked"]);
    if ($remaining > 0) {
        echo "
Account locked. Retry in {$remaining}s.
";
        // 禁用提交按钮或隐藏表单
        echo 'Unlock (Locked)';
        exit();
    }
}
? 关键注意事项


永远先 isset() 再操作：对所有 $_SESSION 键执行读/写前，务必确认其已定义；

避免多次 unset() 后重复访问：如 unset($_SESSION["login_attempts"]) 后未重新初始化，后续 += 仍报错；

$_SESSION["locked"] 应存时间戳（int），非布尔值，便于精确计算剩余锁定时间；

敏感操作需防御性编程：例如用 $_POST["user"] ?? "" 防止未定义索引，配合 empty() 校验空值；

生产环境应启用错误报告控制：开发时设 error_reporting(E_ALL); 快速暴露问题，上线后关闭警告显示。

通过以上结构化初始化与状态管理，即可彻底消除 Undefined array key 警告，并构建出可扩展、易维护的登录安全机制。
立即学习“PHP免费学习笔记（深入）”；
https://www.php.cn/faq/2032062.html