php+MySQLでセッションを使用したログイン認証 - Qiita

<?php /* * ログイン状態によってリダイレクト * 初回時または失敗時にはヘッダを送信してexitする */ function require_unlogined_session () { // セッション開始 @session_start(); // ログインしていれば if (isset($_SESSION["username"])) { header('Location: ./index.php'); exit; } } function require_logined_session() { // セッション開始 @session_start(); // ログインしていなければlogin.phpに遷移 if (!isset($_SESSION["username"])) { header('Location: ./login.php'); exit; } } // CSRF

[n314]

$_SESSION['username'] = h($username)を後でecho h($_SESSION["username"])してる、$_POST['username']をh()してない、ということじゃなかろうか。