PHP 页面防重复提交常用方法：前端禁用、超时检测与 Token 销毁

结果或目标

确保用户在一个业务请求完成前，无法再次发起相同操作的提交，从而避免数据库出现脏数据或资源重复消耗。通常采用前端交互限制与后端逻辑校验相结合的双重保障。

准备条件

在进行任何实施之前，需要确认以下基础环境：

• Web 服务器与 PHP 环境：确保 PHP Sessions 已正常启用。
• 前端资源：若采用前端禁用法，需确保页面引入了 jQuery 或具备原生 DOM 操作能力。
• 业务标识符：定义用于生成唯一 Token 的 Key（如用户 ID、时间戳、业务类型等）。

真实操作顺序

第1步：前端按钮即时禁用

目的：从用户体验层面快速拦截重复点击，减少无效的网络请求。

入口：用户点击提交按钮触发的事件监听器。

动作：

1. 用户点击提交按钮时，立即通过 JavaScript 获取按钮元素。
2. 设置按钮为 disabled 状态，并修改按钮文本提示用户“正在提交”。
3. 当 AJAX 请求成功返回或发生错误时，移除 disabled 属性并恢复原始文本。

重要参数：

• 按钮 ID 选择器，例如 #submit。
• 状态值 'true' 或布尔值 true。

可观察的完成状态：点击后按钮变灰不可点，直到服务器响应后才恢复可点击状态。

执行成功后重置按钮：

第2步：Session 过期时间法

目的：在后端设置一个时间窗口，在此窗口内拒绝相同的业务请求。

入口：服务端接收表单数据的函数。

动作：

1. 生成唯一的令牌 ID（可由用户信息+固定字符串 MD5 加密得到）。
2. 获取当前时间戳。
3. 检查 Session 中是否已存在该 Token，且当前时间与记录时间的差值小于设定阈值（如 30 秒）。
4. 若满足条件，判定为重复提交，返回 false；否则写入 Session 并强制刷新会话文件。

关键参数：$expire（默认 30 秒），用于控制允许提交的冷却时间。

代码实现：

第3步：Token 创建与销毁机制

目的：这是最稳健的后端校验方式。利用一次性 Token 确保每个页面视图只能被提交一次。

入口：页面渲染时生成 Token，表单提交时校验 Token。

动作：

1. 页面加载：调用 createToken() 生成哈希值存入 Session，并将其作为隐藏字段 <input type="hidden" name="form_token"> 放入 HTML 表单中。
2. 提交处理：服务端获取提交的 Token，与 Session 中的进行比对。
3. 验证成功：立即从 Session 中删除该 Token（关键步骤）。此后若再次使用同一页面快照提交，因 Session 中无此 Token 而失效。

代码实现：

完成判断与排错

完成判断：通过上述任一方法，当用户在短时间内两次提交相同表单时，第二次请求应当被后端明确拒绝或忽略，不会造成业务数据 duplication。

常见问题排查：

• Session 写入延迟：PHP 默认的 Session 机制会在脚本执行结束时才将数据写入磁盘/存储。在网络较慢或并发高时，可能导致第一次提交尚未写入，第二次请求即通过验证。
  解决方法：在写入后立即调用 session_write_close() 强制保存，或将 Session 驱动切换为 Redis/Memcached 以提高读写速度。
• 并发冲突：多标签页同时打开同一表单可能会产生 Token 覆盖问题。建议在生成 Token 时混合当前时间戳或 UUID。

简要总结

单一的防护手段往往存在不足。推荐组合使用：

1. 前端：使用 JS 禁用按钮提供即时反馈。
2. 后端：采用 Token 销毁法（第3步）作为主要安全防线，因为它能准确识别由浏览器缓存或后退按钮引发的非法重放攻击。

对于高并发场景，可将 Token 和状态检查迁移至 Redis 等内存数据库中，以获得更低的延迟和更高的吞吐量。