session_start(),ob_start()和安全性问题

Question

在我的网站管理区域中,我使用了非常简单的逻辑:

session_start(); ob_start();
if(!isset($_SESSION['user'])){
    header("Location: login.php");
}
contents...
ob_end_flush();

是的,这是完美的工作,重定向到登录页面.但漫画的一点是,我可以看到index.php的内容(那保护!!!)这里有 什么问题？

Answer 1

阿布拉卡达布拉

if(!isset($_SESSION['user'])){
    header("Location: login.php");
    die("GET LOST YO");
}

Answer 2

把一个ob_end_clean和exit后header调用,以防止任何进一步的执行/输出:

if (!isset($_SESSION['user'])) {
    header("Location: login.php");
    ob_end_clean();
    exit;
}