PHP防止表单重复提交的几种方法：Session、Token与数据库校验

为什么需要防止表单重复提交？

当网络延迟或用户操作习惯导致页面未即时响应时，用户往往会多次点击提交按钮。此外，浏览器的前进/后退、页面刷新等操作也可能导致之前的POST请求被重新执行。这不仅浪费服务器资源，还可能导致订单超卖、积分重复发放、评论刷屏等严重问题。

方法一：基于Session的简单状态锁

这是最基础的方法，通过Session会话标识当前用户的提交状态。虽然实现简单，但仅在单会话内有效，无法完全阻止跨Session的攻击，适合对安全性要求不极高的场景。

第1步：初始化Session并设置状态标记

在包含表单的页面和处理提交的脚本入口处启动Session，并检查是否已经处理过该请求。核心思路是：首次提交时，将标志位写入Session；后续请求检测到标志位存在时，直接拒绝处理。

在接收POST数据的PHP文件中：

<?php
session_start();

// 检查是否已经提交过
if (isset($_SESSION[$submit_key])) {
    echo "请不要再次刷新和后退，提交已处理。";
    exit;
}

// 1. 执行具体的数据库写入或其他业务逻辑
// ... 代码省略 ...

// 2. 处理成功后，立即标记Session
$_SESSION[$submit_key] = true;

// 可选：为了防止恶意攻击者不断制造新的Session，可以在适当时候销毁特定Key
// unset($_SESSION[$submit_key]); 
?
>

风险提示：如果用户在提交后刷新页面，上述代码能拦截；但如果用户清空Cookie或开启新标签页，Session失效，该方法可能再次允许提交。因此，它不适用于高价值交易或关键操作。

方法二：使用一次性随机Token（推荐）

这是目前Web应用中最标准的做法，不仅能防止重复提交，还能有效防御CSRF（跨站请求伪造）攻击。核心原理是：生成一个随机且唯一的Token放入Session和隐藏表单字段中，提交时进行比对，一旦验证成功即销毁该Token。

第1步：生成并存储Token

在渲染HTML表单的PHP脚本中，生成一个随机字符串，并将其存入Session，同时作为隐藏字段传递给前端。

<?php
session_start();

// 生成随机Token，可以使用 bin2hex(random_bytes(32)) 获取更高安全性
if (empty($_SESSION['token'])) {
    $_SESSION['token'] = md5(uniqid(rand(), TRUE));
}
$token = $_SESSION['token'];
?>

<form method="POST" action="process.php">
    <!-- 其他输入框 -->
    <input type="hidden" name="form_token" value="">
    <button type="submit">提交</button>
</form>

第2步：验证并消费Token

在处理表单提交的脚本中，验证提交的Token是否与Session中的匹配，并随后删除Session中的Token，确保其只能使用一次。

<?php
session_start();

// 1. 检查Token是否存在
if (empty($_POST['form_token']) || empty($_SESSION['token'])) {
    die("无效的请求：缺少Token");
}

// 2. 验证Token是否一致
if ($_POST['form_token'] !== $_SESSION['token']) {
    die("无效的请求：Token不匹配");
}

// 3. 【关键】验证通过后，立即销毁Token，使其不可重用
unset($_SESSION['token']);

// 4. 开始执行业务逻辑（如写入数据库）
// ... 代码省略 ...

echo "提交成功！";
?
>

优势：即使黑客截获了某次提交的Request包，由于Token已被消耗且在Session中删除，重放该包也会因Token缺失或不匹配而被拒绝。

方法三：数据库层面的唯一性约束（兜底策略）

无论前端如何防护，后端始终应保证数据的完整性。如果业务场景涉及同一用户短时间内提交相同内容，应在数据库层面设置唯一键或使用幂等性设计。

第1步：识别重复数据

如果是防止评论、点赞等重复操作，可以建立联合唯一索引。例如，一张留言表 `comments`，针对 `user_id` 和 `post_id` 建立唯一索引 `UNIQUE INDEX uk_user_post (user_id, post_id)`。这样在同一篇文章下，同一用户只能发表一条评论。

第2步：应用层幂等性检查

对于支付、转账等非界面强关联的操作，建议引入“业务流水号”概念。客户端生成全局唯一的Request ID，服务端在处理前查询数据库中是否存在该ID。若存在则视为重复提交，直接返回结果而非重新执行逻辑。

<?php
// 伪代码示例
$unique_req_id = $_POST['request_id'];

// 1. 在事务开始时检查
$db->beginTransaction();
$existing = $db->query("SELECT id FROM transactions WHERE req_id = ?", [$unique_req_id])->fetch();

if ($existing) {
    $db->rollBack();
    die("请求ID已存在，请勿重复提交");
}

// 2. 插入数据时写入该ID
$db->insert("transactions", ['req_id' => $unique_req_id, ...]);
$db->commit();
?
>

总结

防止PHP表单重复提交不应依赖单一手段。最佳实践是组合拳：
1. **前端**：提交后立即禁用Submit按钮，防止用户狂点。
2. **后端交互**：使用**一次性Token机制**验证请求合法性，防止刷新和伪造。
3. **数据存储**：利用数据库的唯一索引或幂等性Key作为最终防线。

单纯依靠Session记录IP或简单的计数在安全性和可靠性上均存在缺陷，特别是在分布式系统或多服务器环境下。引入Token机制并结合数据库约束，才能构建健壮的表单提交处理流程。

以上就是PHP防止表单重复提交的详细内容，更多关于PHP表单安全优化的资料请关注本站其它相关文章！