在Web应用里，用户等级通常决定了他能访问哪些页面、调用哪些接口。如果等级是硬编码的，一旦运营策略变化就要改代码重新上线，这显然不合理。更稳妥的做法是把等级存进数据库，在PHP运行时读出来并赋给一个变量，随请求上下文流动。
为什么需要动态设置用户等级变量
静态等级最大的问题是缺乏灵活性。比如某论坛起初只有普通用户和管理员，后来增加了VIP和版主，若等级判断写在多个PHP文件里，改动成本极高。动态从数据库取值则只需调整数据表和一处读取逻辑。
另一个容易被忽视的点是安全性。等级变量若来自客户端表单或Cookie且未校验，用户可能自行篡改。由服务端根据数据库记录赋值，才能确保等级可信。这也是动态设置的核心价值：单一数据源、服务端权威。
使用PDO从数据库读取等级
PDO是PHP访问数据库的主流扩展，支持预处理，能避免SQL注入。下面示例假设有一张users表，包含id、username和level字段，level用整数表示等级。
<?php
// 创建PDO连接
$pdo = new PDO('mysql:host=127.0.0.1;dbname=test;charset=utf8', 'root', 'password', [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION
]);
// 假设已通过登录获取用户ID
$userId = 12;
// 预处理查询等级
$stmt = $pdo->prepare('SELECT level FROM users WHERE id = :id');
$stmt->execute([':id' => $userId]);
$row = $stmt->fetch(PDO::FETCH_ASSOC);
// 动态设置用户等级变量，并做类型约束
$userLevel = isset($row['level']) ? (int)$row['level'] : 0;
?>
上面代码先把查询结果取出来，再用(int)强制转换，避免数据库返回字符串导致后续比较出错。若用户不存在，默认等级为0，代表游客。这种显式默认值能减少不确定状态。
预处理语句中: id是占位符，execute时绑定真实值，从原理上阻断了拼接注入。即便userId来自用户输入，也不会改变SQL结构。这是动态读取时必须遵守的底线。
将等级变量存入会话减少查询
每次请求都查数据库会带来额外开销。PHP的$_SESSION可以在用户登录后缓存等级，后续请求直接读取。但要注意，数据库等级变更后会话不会自动更新。
<?php
session_start();
// 登录成功后写入会话
$_SESSION['user_level'] = $userLevel;
// 后续页面读取
$currentLevel = $_SESSION['user_level'] ?? 0;
// 管理员在后台修改等级后，主动刷新会话
function refreshUserLevel(PDO $pdo, int $uid): void {
$stmt = $pdo->prepare('SELECT level FROM users WHERE id = :id');
$stmt->execute([':id' => $uid]);
$lv = $stmt->fetchColumn();
$_SESSION['user_level'] = (int)$lv;
}
?>
这种方案的优点是读会话比查表快得多，适合等级不频繁变动的场景。缺点是多端登录时某一端改了等级，其他端要等会话过期或主动刷新才能感知。因此后台调整等级应调用refreshUserLevel。
还需注意会话劫持风险。建议结合用户Agent和IP段做会话校验，等级越高越要严格，比如管理员操作前重新校验数据库而非仅信会话。
基于等级变量的权限判断写法
拿到$userLevel后，通常用常量定义等级含义，让代码可读。下面给出一种清晰的判断结构。
<?php
define('LEVEL_GUEST', 0);
define('LEVEL_USER', 1);
define('LEVEL_VIP', 2);
define('LEVEL_ADMIN', 9);
// 判断是否为管理员
if ($userLevel === LEVEL_ADMIN) {
echo '进入管理后台';
} elseif ($userLevel >= LEVEL_VIP) {
echo '开放VIP内容';
} else {
echo '仅基础内容';
}
?>
用define把魔法数字变成命名常量，后期调整等级数值不影响逻辑。比较时优先用全等号，防止字符串'1'和整数1在松散比较下误判。
如果等级体系复杂，可把判断封装成函数或类，例如UserPermission类提供canEdit方法，内部再读$userLevel。这样动态设置与业务判断解耦，便于单元测试。
常见误区与规避
一个典型错误是信任前端传来的等级参数，例如$_POST['level']直接赋给变量。攻击者改包就能提权。正确入口只能是数据库或登录态派生值。
另一个误区是忽略类型。MySQL的int在PDO默认返回字符串，若用==和不同类型比可能绕过判断。始终用(int)转换或数据库层CAST，再从变量层面锁死类型，才能写出可靠的动态等级逻辑。
| 做法 | 风险 | 建议 |
|---|---|---|
| 前端传等级 | 越权 | 拒绝，仅用数据库 |
| 不转类型 | 比较错误 | 强制(int) |
| 每次查库 | 性能低 | 会话缓存加刷新 |
综合来看，动态设置用户等级变量的关键链路是：登录或需要时查库、类型化赋值、会话缓存、变更刷新、常量比较。按此结构组织代码，等级管理会非常清晰且安全。