应采用五种方法测试 PHP 登录逻辑：一、PHPUnit 单元测试验证核心函数；二、cURL 集成测试检查 HTTP 全流程；三、Postman 多场景图形化测试；四、手动 SQL/XSS 注入测试防护能力；五、日志驱动验证审计完整性。
如果您需要验证 PHP 中用户登录逻辑的正确性与安全性，则可能是由于直接在生产环境调试存在风险或难以覆盖所有边界条件。以下是测试此逻辑的具体方法：
一、使用 PHPUnit 编写单元测试
该方法通过隔离用户认证核心函数（如验证密码、检查账户状态），确保其在不同输入下返回预期结果。测试不依赖数据库或 HTTP 请求，执行速度快且可重复。
1、在项目根目录运行 composer require --dev phpunit/phpunit 安装 PHPUnit。
2、创建 tests/LoginTest.php 文件，定义 LoginServiceTest 类并继承PHPUnitFrameworkTestCase。
立即学习“PHP 免费学习笔记（深入）”；
3、在测试方法中模拟用户数据，调用 validateCredentials($username, $password) 并断言返回值为 true 或false。
4、使用 $this->expectException(InvalidArgumentException::class) 验证空用户名输入是否触发异常。
5、对哈希密码比对逻辑，传入 password_hash('test123', PASSWORD_DEFAULT) 生成的密文与明文进行校验断言。
二、使用 cURL 进行集成测试
该方法模拟真实 HTTP 请求，验证登录接口在完整请求生命周期中的行为，包括会话建立、重定向响应及错误提示输出。
1、启动本地 Web 服务器，确保 login.php 可被外部访问。
2、在终端执行curl -X POST http://localhost/login.php -d "username=admin" -d "password=123456" -i。
3、检查响应头中是否包含Set-Cookie: PHPSESSID=，确认会话已初始化。
4、观察响应体是否返回 {"status":"success","redirect":"/dashboard"} 或对应错误 JSON 结构。
5、使用 -b cookies.txt -c cookies.txt 参数维持会话，后续请求验证登录态是否持续有效。
三、利用 Postman 构造多场景请求
该方法支持图形化配置请求参数、Headers 与预处理脚本，便于快速切换正常登录、错误密码、锁定账户等测试场景。
1、新建 Postman 集合，添加请求目标 URL 为http://yourdomain.com/api/auth/login。
2、在 Body 选项卡中选择 x -www-form-urlencoded，填入 username 和password字段。
3、在 Tests 选项卡中编写 JavaScript 断言：pm.test("Status code is 200", function () {pm.response.to.have.status(200); });。
4、添加第二个请求，使用相同 Cookie 但错误密码，验证响应中 error 字段是否为invalid_credentials。
5、导入环境变量文件，分别设置 test_user_locked 和test_user_inactive账号进行状态分支测试。
四、手动注入 SQL 与 XSS 测试
该方法通过构造恶意输入验证登录表单是否具备基础防护能力，防止身份绕过或 前端 脚本执行。
1、在用户名字段输入'OR'1'='1，密码留空，提交后检查是否跳过密码校验直接登录。
2、在用户名中输入，观察响应是否原样输出该字符串而非执行脚本。
3、检查登录成功后的响应头是否包含 X-Content-Type-Options: nosniff 和X-XSS-Protection: 1; mode=block。
4、验证服务端是否对 username 参数执行了 mysqli_real_escape_string() 或使用 PDO 预处理语句。
5、确认错误提示信息中不暴露数据库结构，例如不显示Unknown column ‘usernam’ in ‘where clause’。
五、日志驱动的行为验证
该方法通过分析应用日志记录，确认登录尝试是否被准确捕获、分类与持久化，辅助审计与异常检测。
1、在登录逻辑入口处添加error_log("LOGIN_ATTEMPT: {$username} from {$_SERVER['REMOTE_ADDR']}", 3, "/var/log/php-login.log");。
2、执行三次失败登录后，运行 tail -n 5 /var/log/php-login.log 确认每条记录含 IP、时间戳与用户名。
3、成功登录时检查日志是否记录 LOGIN_SUCCESS 标记，并排除密码明文写入日志的行为。
4、在 php.ini 中确认 log_errors = On 且error_log指向可写路径。
5、验证日志行末是否附加 USER_AGENT: {$_SERVER['HTTP_USER_AGENT']} 用于设备识别。
