Android+PHP+MySQL登录系统实战：从环境搭建到安全加固

1. 项目概述：一个真实跑在手机上的登录注册系统到底长什么样

“Android Login and Registration With PHP MySQL”——这行标题不是教科书里的抽象概念，而是我过去三年带团队交付的17个中小型企业级App里，出现频率最高、被修改次数最多、线上崩溃率第二高（仅次于图片加载）的核心模块。它表面看只是“输账号密码点登录”，但背后是Android端、HTTP通信层、PHP服务端、MySQL数据库四层之间严丝合缝的协作链条。我见过太多人卡在第一步：Android Studio里建好Activity，写完EditText和Button，一运行就报NetworkOnMainThreadException；也见过PHP新手把mysqli_connect()直接扔进login.php里，结果安卓App发请求后等30秒只收到空白页；更常见的是MySQL表设计时没加UNIQUE约束，导致用户能用同一手机号注册12个账号，后台运营半夜打电话来骂人。

这个项目解决的从来不是“能不能连上数据库”，而是如何让一次登录请求，在500毫秒内完成从触摸屏幕到跳转主界面的完整闭环。它适合三类人：刚学完Android四大组件想做第一个联网App的在校生；接外包需要快速交付用户管理模块的自由开发者；以及正在重构老旧系统、发现原登录逻辑耦合严重、无法加短信验证码的老项目维护者。关键词里反复出现的“android studio”“php mysql”“mysql安装配置教程”，恰恰说明绝大多数人卡在环境打通环节——不是不会写代码，而是根本没搞清数据从手机发出后，中间要经过哪些关卡、每道关卡会吃掉什么、又吐出什么。接下来我会像带新人一样，从你打开Android Studio那一刻开始，手把手拆解每一个真实场景下的决策点、参数值、报错信号和绕过方案，不讲原理图，只讲你调试时真正能看到的日志、能改的配置、能验证的返回值。

2. 整体架构设计与技术选型逻辑

2.1 为什么必须放弃“纯原生PHP+MySQL直连”的幻想

很多初学者看到标题第一反应是：“直接在Android里用JDBC连MySQL不就行了？”——这是最危险的认知陷阱。我带过的实习生里，有3个人在第一天就尝试用mysql-connector-java库往APK里塞，结果编译失败、运行闪退、甚至污染了整个项目的Gradle缓存。原因很简单：Android的SQLite是嵌入式数据库，而MySQL是C/S架构的独立服务进程，两者网络模型、权限机制、连接池管理完全不兼容。更现实的问题是：你的MySQL服务器不可能开放3306端口给全球任意IP直连，防火墙规则、云服务商安全组、SSL证书配置，随便一条就能让你的“直连方案”死在第一步。

所以真实项目中，我们采用标准三层架构：Android客户端（View层）→ PHP Web API（Controller层）→ MySQL数据库（Model层）。这个选择不是因为“听起来高级”，而是被现实逼出来的最优解。PHP在这里扮演的是“翻译官”角色：它接收Android发来的JSON请求（比如{"username":"zhangsan","password":"123456"}），把明文密码用password_hash()加密后存入MySQL，再把查询结果用json_encode()转成标准JSON返回给Android。整个过程Android只和PHP打交道，PHP只和MySQL打交道，责任边界清晰，出了问题能准确定位到哪一层。

提示：千万别用md5()或sha1()加密密码！2024年主流PHP版本（8.0+）已废弃mysql_*函数，必须用mysqli或PDO。我坚持用password_hash($password, PASSWORD_ARGON2ID)，虽然比PASSWORD_DEFAULT慢，但能有效防御GPU暴力破解——去年帮客户做渗透测试时，用RTX4090跑hashcat，md510分钟能爆破12位数字密码，而argon2id跑24小时才试了不到0.3%的组合。

2.2 Android端通信方案：Retrofit vs OkHttp vs Volley的实战取舍

在Android Studio里，你有至少三种方式发HTTP请求：Retrofit（类型安全）、OkHttp（底层控制）、Volley（Google官方但已停更）。我做过压测对比：在同等网络条件下（Wi-Fi/4G切换、弱网模拟），Retrofit 2.9.0 + OkHttp 4.12.0组合的平均响应时间比纯OkHttp快17%，比Volley快42%。这不是玄学，而是Retrofit的注解解析器在编译期就把URL路径、参数绑定、JSON序列化规则固化了，运行时少了一次反射调用。

但Retrofit有个致命坑：默认不支持Cookie持久化。这意味着你登录成功后PHP返回Set-Cookie: PHPSESSID=abc123，Retrofit下次请求却不会自动带上这个Cookie，导致每次都要重新登录。解决方案是给OkHttpClient添加CookieJar实现：

// 在Application类里初始化 public class MyApplication extends Application { private static OkHttpClient okHttpClient; @Override public void onCreate() { super.onCreate(); // 使用内存Cookie存储，适合登录态短期有效场景 CookieJar cookieJar = new JavaNetCookieJar(new CookieManager()); okHttpClient = new OkHttpClient.Builder() .cookieJar(cookieJar) .connectTimeout(15, TimeUnit.SECONDS) .readTimeout(20, TimeUnit.SECONDS) .build(); } }

这个配置看似简单，但实际踩过坑：早期用PersistentCookieJar库想存到本地文件，结果在Android 12+上因分区存储限制导致Cookie丢失；后来换成JavaNetCookieJar，又发现华为EMUI系统会强制清理后台进程的Cookie缓存。最终方案是登录成功后，把PHP返回的session_id手动存进SharedPreferences，并在每次请求Header里显式添加Cookie: PHPSESSID=xxx——虽然多写两行代码，但100%可控。

2.3 PHP服务端设计：为什么不用Laravel而选原生框架

热搜词里频繁出现“php源码”“php系统后台模板”，说明很多人倾向用现成框架。但在我经手的项目中，超过80%的登录模块故障源于框架自动注入的中间件冲突。比如Laravel的VerifyCsrfToken中间件会拦截所有POST请求，而Android端发请求时根本不会带CSRF token；再比如ThinkPHP的Route::rule()路由规则，在Apache和Nginx下解析方式不同，导致/api/login在测试环境正常，上线后404。

所以我的标准做法是：用原生PHP写一个极简API入口。整个服务端只有3个核心文件：

• index.php：统一入口，处理所有/api/*请求
• config.php：数据库连接配置，包含mysqli_connect()参数和错误处理
• AuthController.php：封装登录、注册、登出逻辑，每个方法对应一个API端点

这种结构的好处是：当Android端报500 Internal Server Error时，你能直接在PHP错误日志里看到Fatal error: Uncaught mysqli_sql_exception: Duplicate entry 'zhangsan' for key 'username'，而不是在Laravel的laravel.log里翻500行找不到根源。而且部署时只需把这三个文件扔进Web目录，不用折腾Composer autoload、.env环境变量、artisan命令——客户运维人员用FTP上传就能跑起来。

3. 核心细节解析与实操要点

3.1 MySQL表结构设计：那些被忽略的“小字段”如何决定系统寿命

很多人以为登录表只要id, username, password, email就够了，结果上线三个月后运营反馈：“用户说注册时输错邮箱收不到验证邮件，想改邮箱却提示‘邮箱已被占用’”。问题出在表设计时没预留email_verified_at和status字段。我现在的标准建表SQL如下：

CREATE TABLE `users` ( `id` int(11) NOT NULL AUTO_INCREMENT, `username` varchar(50) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '用户名，唯一索引', `password` varchar(255) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT 'bcrypt加密后的密码', `email` varchar(100) COLLATE utf8mb4_unicode_ci DEFAULT NULL COMMENT '邮箱，可为空', `phone` varchar(20) COLLATE utf8mb4_unicode_ci DEFAULT NULL COMMENT '手机号，可为空', `email_verified_at` timestamp NULL DEFAULT NULL COMMENT '邮箱验证时间', `status` tinyint(1) NOT NULL DEFAULT '1' COMMENT '状态：0禁用，1启用，2待验证', `created_at` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP, `updated_at` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP, PRIMARY KEY (`id`), UNIQUE KEY `username` (`username`), UNIQUE KEY `email` (`email`), UNIQUE KEY `phone` (`phone`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='用户主表';

关键细节解析：

• utf8mb4_unicode_ci排序规则：必须用utf8mb4而非utf8，否则用户昵称含emoji（如👍）会存成?。unicode_ci比general_ci更准确处理中文拼音排序。
• password字段长度255：password_hash()生成的字符串长度在60-90字符之间，255是为未来升级算法留余量（如从bcrypt换到argon2）。
• 三个UNIQUE索引：username强制唯一，email和phone允许NULL但非空时必须唯一——这样用户可以用手机号注册，后续再绑定邮箱，不会因邮箱重复被拦。
• status字段的业务价值：注册时设为2（待验证），用户点击邮箱链接后更新为1（启用），管理员后台可手动设为0（禁用）。比单纯删记录更安全，审计日志也更完整。

注意：网上教程常教用VARCHAR(32)存MD5密码，这是2010年的方案。现在password_hash()生成的字符串形如$2y$10$92IXUNpkjO0rOQ5byMi.Ye4oKoEa3Ro9llC/.og/at2.uheWG/igi，共60字符，但$2y$10$前缀可能随PHP版本变化，255是保险值。

3.2 Android端UI与交互：为什么“正在登录…”提示不能用Toast

新手常犯的错误是：点击登录按钮后，弹个Toast.makeText("正在登录...")，然后执行网络请求。结果用户连续点三次，发起三个并发请求，后台创建三个重复账号。真正的工业级交互必须遵循防抖+Loading+状态锁三原则：

1. 防抖（Debounce）：用Handler延迟执行，两次点击间隔小于500ms则忽略后一次；
2. Loading状态：用ProgressBar覆盖按钮，禁用所有输入框，防止用户乱输；
3. 状态锁：定义private boolean isLoggingIn = false;，请求开始设为true，结束时重置。

完整代码片段：

private void handleLoginClick() { if (isLoggingIn) return; // 状态锁 String username = etUsername.getText().toString().trim(); String password = etPassword.getText().toString().trim(); if (username.isEmpty() || password.isEmpty()) { showToast("用户名和密码不能为空"); return; } // 防抖：500ms内重复点击无效 if (System.currentTimeMillis() - lastClickTime < 500) { return; } lastClickTime = System.currentTimeMillis(); // 显示Loading并禁用控件 pbLoading.setVisibility(View.VISIBLE); btnLogin.setEnabled(false); isLoggingIn = true; // 执行Retrofit请求 loginService.login(username, password).enqueue(new Callback<LoginResponse>() { @Override public void onResponse(Call<LoginResponse> call, Response<LoginResponse> response) { pbLoading.setVisibility(View.GONE); btnLogin.setEnabled(true); isLoggingIn = false; if (response.isSuccessful() && response.body() != null) { if (response.body().getCode() == 200) { // 登录成功，跳转主界面 startActivity(new Intent(LoginActivity.this, MainActivity.class)); finish(); } else { showToast(response.body().getMessage()); } } else { showToast("登录失败，请检查网络"); } } @Override public void onFailure(Call<LoginResponse> call, Throwable t) { pbLoading.setVisibility(View.GONE); btnLogin.setEnabled(true); isLoggingIn = false; showToast("网络错误：" + t.getMessage()); } }); }

这个看似繁琐的流程，能避免90%的用户误操作投诉。去年帮教育类App做优化时，加入此逻辑后，客服收到的“点了登录没反应”咨询下降了76%。

3.3 PHP服务端安全加固：从SQL注入到暴力破解的七层防护

热搜词里“php mysql 某个表有碎片”暴露了一个事实：很多人只关注功能实现，忽视安全纵深。我给登录接口加的防护措施如下：

其中第4条“登录失败计数”最容易被忽略。很多人用MySQL存失败记录，结果高并发时数据库锁表。我的方案是用Redis：

// login.php中 $redis = new Redis(); $redis->connect('127.0.0.1', 6379); $ip = $_SERVER['REMOTE_ADDR']; $username = $_POST['username']; $lockKey = "login_lock:{$ip}:{$username}"; $failCountKey = "login_fail:{$ip}:{$username}"; // 检查是否被锁定 if ($redis->exists($lockKey)) { die(json_encode(['code'=>403, 'message'=>'登录过于频繁，请稍后再试'])); } // 获取失败次数 $failCount = $redis->get($failCountKey) ?: 0; if ($failCount >= 5) { // 锁定30分钟 $redis->setex($lockKey, 1800, 1); $redis->del($failCountKey); die(json_encode(['code'=>403, 'message'=>'账户已被锁定30分钟'])); } // 验证密码... if (!$isValid) { $redis->incr($failCountKey); $redis->expire($failCountKey, 300); // 5分钟内有效 die(json_encode(['code'=>401, 'message'=>'用户名或密码错误'])); }

这段代码在QPS 200的压测中稳定运行，Redis单节点支撑5000+并发登录请求无压力。

4. 实操过程与核心环节实现

4.1 Android Studio环境搭建：从零开始的5步落地清单

很多教程卡在“android studio怎么设置中文”这种基础问题上，其实核心是环境变量和SDK路径的精准控制。以下是我在Windows/Mac/Linux三平台验证过的标准化流程：

Step 1：安装Android Studio（以2023.3.1版本为例）

• 官网下载后，安装时取消勾选“Android Virtual Device”（AVD），因为真机调试更快更准；
• 安装路径避免中文和空格，推荐C:\AndroidStudio（Win）或/Applications/Android Studio.app（Mac）；
• 启动后首次配置，SDK Platforms选“Android 13 (Tiramisu)”和“Android 12 (Sv2)”，SDK Tools必选“Android SDK Build-Tools 34.0.0”、“Android SDK Platform-Tools”。

Step 2：创建项目并配置网络权限

• 新建Empty Activity项目，包名按规范com.yourcompany.appname；
• 在AndroidManifest.xml的<application>外添加：

<uses-permission android:name="android.permission.INTERNET" /> <uses-permission android:name="android.permission.ACCESS_NETWORK_STATE" />

• 关键配置：在app/src/main/res/xml/network_security_config.xml中添加：

<?xml version="1.0" encoding="utf-8"?> <network-security-config> <domain-config> <domain includeSubdomains="true">your-api-domain.com</domain> <trust-anchors> <certificates src="system" /> </trust-anchors> </domain-config> </network-security-config>

并在AndroidManifest.xml的<application>标签中添加android:networkSecurityConfig="@xml/network_security_config"——这是为后续HTTPS请求铺路，避免Cleartext HTTP traffic not permitted错误。

Step 3：添加Retrofit依赖

• 在app/build.gradle的dependencies块中添加：

implementation 'com.squareup.retrofit2:retrofit:2.9.0' implementation 'com.squareup.retrofit2:converter-gson:2.9.0' implementation 'com.squareup.okhttp3:logging-interceptor:4.12.0'

• 同步后，在java/com/yourcompany/appname/下新建api/LoginService.java：

public interface LoginService { @FormUrlEncoded @POST("api/login.php") Call<LoginResponse> login( @Field("username") String username, @Field("password") String password ); }

Step 4：编写登录响应实体类

• 创建model/LoginResponse.java：

public class LoginResponse { private int code; private String message; private String token; // 可选：JWT token // getter/setter方法（Android Studio快捷键Alt+Insert生成） public int getCode() { return code; } public void setCode(int code) { this.code = code; } public String getMessage() { return message; } public void setMessage(String message) { this.message = message; } public String getToken() { return token; } public void setToken(String token) { this.token = token; } }

Step 5：初始化Retrofit实例

• 在LoginActivity.java的onCreate()中添加：

// 初始化Retrofit Retrofit retrofit = new Retrofit.Builder() .baseUrl("https://your-api-domain.com/") // 替换为你的PHP服务器地址 .addConverterFactory(GsonConverterFactory.create()) .build(); loginService = retrofit.create(LoginService.class);

这5步做完，你的Android端就具备了调用PHP接口的能力。注意baseUrl必须以/结尾，否则@POST("api/login.php")会拼成https://domain.comapi/login.php导致404。

4.2 PHP MySQL服务端部署：从WAMP到云服务器的平滑迁移

热搜词里“mysql安装配置教程”“mysql下载安装教程”说明本地开发环境是最大门槛。我的建议是：开发阶段用XAMPP（Windows）或MAMP（Mac），上线阶段直接上云服务器，避免环境差异导致的“本地OK，线上挂掉”。

本地开发（XAMPP为例）：

• 下载XAMPP 8.2.12（含PHP 8.2 + MySQL 8.0.33）；
• 安装后启动Apache和MySQL服务；
• 浏览器访问http://localhost/phpmyadmin，创建数据库android_login，字符集选utf8mb4_unicode_ci；
• 将config.php中的数据库配置改为：

$host = 'localhost'; $dbname = 'android_login'; $username = 'root'; $password = ''; // XAMPP默认空密码

云服务器部署（以腾讯云轻量应用服务器为例）：

• 选择“LAMP”应用镜像（已预装Apache+MySQL+PHP）；
• SSH登录后，执行sudo mysql_secure_installation设置root密码；
• 创建新用户避免用root：

CREATE USER 'android_app'@'localhost' IDENTIFIED BY 'StrongPass123!'; GRANT SELECT, INSERT, UPDATE ON android_login.* TO 'android_app'@'localhost'; FLUSH PRIVILEGES;

• 修改config.php：

$host = '127.0.0.1'; // 必须用127.0.0.1，localhost在某些MySQL配置下会走socket $dbname = 'android_login'; $username = 'android_app'; $password = 'StrongPass123!';

关键迁移技巧：

• 本地开发用http://localhost/api/login.php，云服务器用https://your-domain.com/api/login.php，通过BuildConfig.DEBUG动态切换：

String baseUrl = BuildConfig.DEBUG ? "http://192.168.1.100/" // 本地局域网IP : "https://your-domain.com/";

• 云服务器必须配置SSL证书，用Let's Encrypt免费获取，否则Android 9+会拒绝HTTP请求；
• MySQL远程访问：编辑/etc/mysql/mysql.conf.d/mysqld.cnf，注释掉bind-address = 127.0.0.1，重启MySQL。

4.3 全链路联调：用Postman和Logcat定位90%的通信问题

联调失败时，90%的人直接看Android Logcat，结果满屏Failed to connect to /192.168.1.100:80，却不知道该去查PHP错误日志还是MySQL连接日志。我的标准化排查流程如下：

Step 1：用Postman验证PHP接口

• 在Postman中新建POST请求，URL填http://your-server-ip/api/login.php；
• Body选x-www-form-urlencoded，添加username=test和password=123456；
• 发送后看返回：如果是{"code":404,"message":"Not Found"}，说明PHP文件路径错误；如果是{"code":500,"message":"Internal Server Error"}，立刻查PHP错误日志（/var/log/apache2/error.log）；
• 关键技巧：在PHP文件开头加error_reporting(E_ALL); ini_set('display_errors', 1);临时显示错误，定位到具体行号。

Step 2：用Logcat过滤Android网络日志

• 在Android Studio Terminal中执行：

adb logcat -s okhttp.OkHttpClient:V Retrofit:V

• 此时点击登录按钮，Logcat会输出：

OkHttpClient: --> POST http://192.168.1.100/api/login.php OkHttpClient: Content-Type: application/x-www-form-urlencoded OkHttpClient: Content-Length: 32 OkHttpClient: username=test&password=123456 OkHttpClient: --> END POST OkHttpClient: <-- 200 http://192.168.1.100/api/login.php (123ms) OkHttpClient: {"code":200,"message":"登录成功"} OkHttpClient: <-- END HTTP

• 如果看到--> END POST但没有<-- 200，说明请求发出去了但PHP没响应，此时去查Apache访问日志/var/log/apache2/access.log，看是否有192.168.1.100 - - [10/Jan/2024:14:22:33 +0000] "POST /api/login.php HTTP/1.1" 500记录。

Step 3：MySQL连接验证

• 当PHP报mysqli_connect(): (HY000/1045): Access denied for user时，不要盲目改密码，先用命令行验证：

mysql -u android_app -p -h 127.0.0.1 android_login

• 如果连不上，检查MySQL用户权限是否包含'android_app'@'127.0.0.1'（注意不是'android_app'@'localhost'）；
• 如果能连上但PHP连不上，检查PHP的mysqli.default_socket配置是否指向正确socket文件（/var/run/mysqld/mysqld.sock）。

这套流程让我在客户现场30分钟内定位95%的联调问题，比盲目重启服务、重装环境高效得多。

5. 常见问题与排查技巧实录

5.1 “登录成功但跳转失败”的12种可能原因及速查表

这是Android端最高频的“幽灵BUG”：PHP返回{"code":200,"message":"登录成功"}，Logcat也显示onResponse回调，但startActivity()就是不执行。根据我处理的217个同类案例，整理速查表如下：

实操心得：第10条android:exported是Android 12+的硬性要求，很多老项目升级后突然跳转失败，就是因为没加这个属性。解决方案不是降级targetSdk，而是明确声明android:exported="true"并配合intent-filter使用。

5.2 PHP端“500错误”的根因分析与修复路径

当Postman返回500 Internal Server Error，别急着改代码，先按顺序检查这5个层面：

Layer 1：PHP语法错误

• 打开/var/log/apache2/error.log，搜索PHP Parse error；
• 常见错误：login.php末尾多了一个}，或<?php标签后有空格；
• 修复：用php -l login.php命令行检查语法（-l即lint）。

Layer 2：MySQL连接失败

• 错误日志中出现mysqli_connect(): (HY000/1045)；
• 检查config.php中用户名密码是否正确，特别注意云服务器MySQL默认禁用root远程登录；
• 修复：创建专用用户并授权，如GRANT ALL ON android_login.* TO 'android_app'@'%' IDENTIFIED BY 'Pass123!';。

Layer 3：文件权限问题

• 错误日志中出现failed to open stream: Permission denied；
• 常见于include 'config.php'时，PHP进程用户（www-data）无读取权限；
• 修复：sudo chown -R www-data:www-data /var/www/html/api/，sudo chmod -R 755 /var/www/html/api/。

Layer 4：PHP扩展缺失

• 错误日志中出现Call to undefined function mysqli_connect()；
• 说明mysqli扩展未启用；
• 修复：编辑/etc/php/8.2/apache2/php.ini，取消注释;extension=mysqli，重启Apache。

Layer 5：内存溢出

• 错误日志中出现Allowed memory size of 134217728 bytes exhausted；
• 常见于json_encode()大数据量时；
• 修复：在login.php开头加ini_set('memory_limit', '256M');，或优化查询只取必要字段。

我处理过一个典型案例：客户PHP报500，查日志发现是mysqli_query(): MySQL server has gone away。原因是MySQL的wait_timeout设为60秒，而PHP脚本执行超时。解决方案不是调大timeout，而是在每次查询前加mysqli_ping($conn)检测连接有效性，断开时自动重连。

5.3 MySQL“表碎片”问题的实战处理指南

热搜词里“php mysql 某个表有碎片,一般怎么处理”反映了一个普遍误解：认为碎片会影响登录性能。实际上，对于users表这种写少读多、单次查询只返回1行的场景，碎片影响微乎其微。但如果你的运营后台要查“近30天注册用户TOP100”，碎片会导致全表扫描变慢。

判断碎片程度：

SELECT table_name, data_length, index_length, data_free, ROUND(((data_length + index_length) - data_free) / (data_length + index_length) * 100, 2) AS 'FreeSpace%' FROM information_schema.TABLES WHERE table_schema = 'android_login' AND table_name = 'users';

• data_free > 0表示有碎片；
• FreeSpace% < 90说明碎片率低于10%，无需处理；
• FreeSpace% < 80说明碎片率超20%，建议优化。

安全优化方案（不停服）：

-- 方案1：OPTIMIZE TABLE（推荐，自动重建表） OPTIMIZE TABLE users; -- 方案2：ALTER TABLE（更可控，但需更多磁盘空间） ALTER TABLE users ENGINE=InnoDB; -- 方案3：mysqldump导出导入（最彻底，但需停服） mysqldump -u root -p android_login users > users_backup.sql mysql -u root -p android_login < users_backup.sql

注意：OPTIMIZE TABLE在MySQL 5.7+中对InnoDB表会执行ALTER TABLE ... FORCE，本质是重建表。执行期间表可读不可写，对登录接口影响极小（因为SELECT仍可进行）。我建议每月凌晨3点用crontab自动执行：0 3 * * * /usr/bin/mysql -u android_app -p'Pass123!' android_login -e "OPTIMIZE TABLE users;" > /dev/null 2>&1。

6. 进阶扩展与生产环境加固

6.1 从基础登录到JWT Token认证的平滑升级

当项目用户量突破1万，Session机制会成为瓶颈：PHP的session_start()默认用文件存储，高并发时I/O争抢严重。我的升级路径是：先加Redis Session，再切JWT。

Step 1：Redis Session（兼容现有代码）

• 安装Redis扩展：sudo apt install php-redis；
• 修改php.ini：

session.save_handler = redis session.save_path = "tcp://127.0.0.1:6379?auth=your_redis_pass" session.cookie_httponly = 1 session.cookie_secure = 1 ; HTTPS only

• 重启Apache，所有$_SESSION操作自动走Redis，QPS提升3倍。

**Step 2：JWT Token认证（前后端分离）