``` <form action="./demo.php" method="post"> <input type="text" name="adminname"> <input type="pwssword" name="adminpass"> <input type="submit" name="submit" value="確定"> </form> ``` demo.php ``` $sql="select * form admin where adminname='{$_POST['adminname']}' and adminpass='{$_POST['adminpass']}'"; $res=mysql_query($sql); $admin=mysql_num_rows($res); if($admin=='1'){ setcookie('admin_name', $_POST['adminname'], time()+3600, '/') } ```  修改成  第二種就是訪問臺頁面時判斷coookie是否存在不存在則跳轉到登錄頁面 ``` if(isset($_COOKIE['admin_name'])){ $user=$_COOKIE['admin_name']); }else{ $user=null; } if($user==null){ header("Location:../index.php"); exit; } ``` 這個cookie時可以偽造的 具體做法是在訪問后臺頁面時攔截請求，在后在頭信息加上cookie:admin_name=admin