После правки сайта пользователь вводит пароль, но снова видит форму входа, а переход на нужную страницу не срабатывает. Если в журнале PHP есть Cannot modify header information — headers already sent, сначала найдите, откуда начался преждевременный вывод. Исправление нужно принимать по работе входа и перенаправления, а не только по исчезновению предупреждения.
Начните с трёх безопасных действий:
- Запишите время сбоя с часовым поясом, страницу и последовательность действий. Для примера используйте тестовую учётную запись без клиентских данных.
- Попросите разработчика сопоставить эту попытку с записью в журнале PHP и последними изменениями файлов. Не включайте показ ошибок посетителям.
- Согласуйте воспроизведение на изолированной копии и способ отката. До выяснения результата не повторяйте отправку заказа или другую операцию, которая меняет данные.
Почему перестают работать вход и перенаправление
HTTP-заголовки передают браузеру служебные указания: Location задаёт адрес перенаправления, Set-Cookie — установку cookie. В руководстве PHP для header() и setcookie() указано: их нужно отправить до фактического вывода содержимого. Когда блок заголовков уже отправлен, поздний вызов не сможет добавить нужное указание.
Страница при этом может выглядеть почти нормально. Но без нужного cookie вход не закрепится, а без Location посетитель останется на прежнем адресе. Это возможные последствия ошибки, а не доказательство причины любого сбоя авторизации: отдельно бывают неверные параметры cookie, ошибки сессии и другие проблемы.
Предупреждение обычно содержит две точки: где начался вывод — output started at — и где код позднее попытался изменить заголовки. Они могут находиться в разных файлах. Начать разбор полезнее с первой точки; строка с header() может лишь обнаружить последствия.
Четыре гипотезы о первом выводе
Пробелы или разметка вне PHP-кода. Проверьте начало подключаемого файла и участок после закрывающего тега ?>. Пробелы внутри PHP-кода сами по себе не являются выводом. Для файла, содержащего только PHP, руководство рекомендует не ставить закрывающий тег в конце: так меньше риск случайно добавить вывод после него.
Невидимая метка BOM. Это служебный символ в начале текстового файла. В UTF-8 его байты — EF BB BF; если они оказываются перед <?php, возможен преждевременный вывод. Проверяйте фактическую кодировку и байты указанного файла. Сохранение подтверждённого источника в UTF-8 без BOM сначала проверяют на копии, включая сохранность русских букв; массово перекодировать проект не нужно.
Отладочный вывод или предупреждение PHP. Ищите echo, var_dump(), вывод диагностического обработчика и более раннее предупреждение того же запроса. При включённом display_errors сообщение PHP может попасть в ответ раньше заголовков. На рабочем сайте ошибки записывают в закрытый журнал; отключение их показа посетителям не заменяет устранение исходной ошибки.
Шаблон подключили раньше обработки запроса. Если оформление страницы выводится до решения о входе или переходе, проблема в порядке действий. На копии проверьте цепочку подключений и момент формирования ответа. Исправление должно сохранить проверку пароля, прав и остальных условий, а не просто перенести редирект в начало файла.
Не заменяйте сломанный серверный редирект переходом через JavaScript только ради исчезновения симптома. Такая замена не исправляет отправку cookie и может оставить исходный сбой в обработчике.
Как составить карту первого вывода
Разработчик воспроизводит один сценарий на копии с той же версией PHP и значимыми настройками обработки ошибок и вывода. Почта, платежи и обмены должны быть изолированы от рабочих систем. Подготовку контрольных сценариев разбираем в материале о тестах для старого PHP-проекта.
Для каждой контрольной попытки достаточно короткой карточки:
- Сценарий: действие, роль тестового пользователя и время.
- Первый вывод: относительный путь к файлу, строка и вид вывода — пробел, BOM, отладка, предупреждение или разметка.
- Поздний вызов: место, где понадобились
LocationилиSet-Cookie. - Условия: версия PHP, способ веб-запуска, настройки буферизации и показа ошибок.
- Подтверждение: какое минимальное изменение устранило сбой и что показала повторная проверка.
По документации headers_sent($file, $line) позволяет узнать, отправлены ли заголовки, а при отправке — файл и строку начала вывода. Проверку ставят в нужной точке тестового сценария. Её результат записывают в закрытую диагностику, не выводят через echo в сам ответ.
Значение false не доказывает отсутствия лишних символов: они ещё могут находиться в буфере. Пустое имя файла тоже требует разбора — документация допускает вывод до исполнения исходного PHP-файла, например при ошибке запуска. Проверять этот механизм нужно через веб-запрос: запуск из командной строки не воспроизводит отправку браузерных заголовков.
Учебный пример: перед обработкой входа подключили файл с отладочной строкой. Карта связывает эту строку с последующим отказом установить cookie. После удаления отладки повторяют вход и следующий запрос к закрытой странице; одного исчезнувшего сообщения недостаточно. Это пример проверки, а не описание выполненного клиентского проекта.
Почему одного output buffering недостаточно
Буферизация временно удерживает содержимое перед отправкой. Поэтому добавление ob_start() может изменить проявление ошибки, но лишний вывод или неверный порядок обработки останутся в коде. Уже отправленные заголовки такой вызов не вернёт.
Буфер может быть штатной частью приложения. Не отключайте его на рабочем сайте и не добавляйте новый слой вслепую: сначала выясните, где он запускается и завершается. Разные настройки копии и рабочего окружения способны скрыть дефект при проверке.
Исправляйте подтверждённый источник: удалите случайный вывод, устраните раннее предупреждение либо перенесите формирование ответа перед шаблоном, сохранив проверки доступа. Если причина в стороннем модуле, способ исправления сверяют с документацией установленной версии. Проверку if (!headers_sent()) нельзя считать полноценным ремонтом, если при её отрицательном результате сайт просто пропускает нужный переход.
Как принять исправление и наблюдать после выпуска
До изменения согласуйте ожидаемое поведение и повторите его после правки на тех же тестовых данных. В приёмку включите:
- Перенаправление: исходный ответ содержит ожидаемый код и правильный
Location; переход заканчивается на нужной странице без цикла. - Cookie: если сценарий должен её установить, в ответе есть ожидаемый
Set-Cookie, браузер принимает cookie и передаёт её в следующем подходящем запросе. Значения cookie в отчёт не копируют. - Вход: тестовый пользователь попадает в свой раздел; неверный пароль отклоняется; после выхода закрытая страница снова требует входа.
- Первый вывод: указанный источник устранён, а повторный запрос не порождает прежнее предупреждение и связанную раннюю ошибку.
- Соседний сценарий: обычное открытие страницы и отправка формы по-прежнему дают согласованный результат.
Успешный вызов setcookie() ещё не подтверждает, что браузер сохранил cookie: это отдельно отмечено в руководстве PHP. Поэтому проверка заголовка и проверка следующего запроса решают разные задачи.
После выпуска повторите согласованный безопасный сценарий и сопоставьте результат с журналом за то же время. Заранее назначьте ответственного, окно наблюдения и условие отката. Если предупреждение исчезло, но вход не работает, задача остаётся открытой: нужно продолжить проверку сессии и cookie.
Когда достаточно своей команды
Владелец может собрать симптом и проверить понятный результат. Поиск первого вывода, изменение порядка обработки входа и настройка окружения требуют разработчика. Если ваша команда воспроизводит сбой на копии, называет источник и подтверждает приёмку, привлекать другого подрядчика необязательно.
Помощь нужна, когда ошибка плавающая, код передан без документации или единственный предложенный способ — скрыть предупреждения. В поддержке сайтов OpenStart можно начать с согласованной диагностики или одной доработки: определить состав работ, стоимость и ожидаемый результат до исправления. Для первичного разбора полезны симптом, время, версия PHP и обезличенный пример; пароли, cookie и необработанные журналы в публичную форму не передают.