Java Web 防止表單重複提交：Token 機制完整實作指南

前言

在 Web 應用開發中，使用者重複點擊提交按鈕、瀏覽器重新整理、或是雙擊連結等情況，都可能導致表單資料被重複送往伺服器，造成資料重複、訂單重複下單等嚴重問題。本文將詳細介紹基於 Token（令牌）機制的防重複提交解決方案，並提供完整的 Java Servlet 實作範例。

核心原理：同步器 Token 模式

同步器 Token 模式 是防止表單重複提交的經典設計模式，其核心流程如下：

1. 生成 Token：使用者請求表單頁面時，伺服器生成唯一隨機 Token，存入 Session 並嵌入表單隱藏欄位。
2. 提交驗證：使用者提交表單時，伺服器比對表單攜帶的 Token 與 Session 中的 Token。
3. 一次性失效：驗證通過後，立即從 Session 移除 Token，確保同一 Token 無法被二次使用。

完整程式碼實作

1. Token 處理器

package cn.com.form;

import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.util.Random;
import sun.misc.BASE64Encoder;

public class TokenProcessor {
    private static final TokenProcessor instance = new TokenProcessor();

    private TokenProcessor() {}

    public static TokenProcessor getInstance() {
        return instance;
    }

    public String generateToken() {
        String token = System.currentTimeMillis() + new Random().nextInt() + "";
        try {
            MessageDigest md = MessageDigest.getInstance("md5");
            byte[] md5 = md.digest(token.getBytes());
            BASE64Encoder encoder = new BASE64Encoder();
            return encoder.encode(md5);
        } catch (NoSuchAlgorithmException e) {
            throw new RuntimeException(e);
        }
    }
}

2. 表單顯示 Servlet

package cn.com.form;

import java.io.IOException;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class FormServlet extends HttpServlet {
    private static final long serialVersionUID = 1L;

    protected void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        TokenProcessor tp = TokenProcessor.getInstance();
        String token = tp.generateToken();
        request.getSession().setAttribute("token", token);
        request.getRequestDispatcher("/form.jsp").forward(request, response);
    }

    protected void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        doGet(request, response);
    }
}

3. 表單頁面

<%@ page language="java" import="java.util.*" pageEncoding="UTF-8"%>
<%
    String path = request.getContextPath();
    String basePath = request.getScheme() + "://" + request.getServerName() + ":" + request.getServerPort() + path + "/";
%>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
<head>
    <base href="<%=basePath%>">
    <title>防重複提交表單範例</title>
    <meta http-equiv="pragma" content="no-cache">
    <meta http-equiv="cache-control" content="no-cache">
    <meta http-equiv="expires" content="0">
</head>
<body>
    <form action="/Session/DoForm" method="post">
        <input type="hidden" name="token" value="${token}">
        用戶名：<input type="text" name="userName">
        <input type="submit" value="提交">
    </form>
</body>
</html>

4. 表單處理 Servlet

package cn.com.form;

import java.io.IOException;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class DoForm extends HttpServlet {
    private static final long serialVersionUID = 1L;

    protected void doGet(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        boolean valid = isTokenValid(request);
        if (!valid) {
            System.out.println("請不要重複提交！");
            return;
        }
        request.getSession().removeAttribute("token");
        System.out.println("向資料庫註冊用戶...");
    }

    private boolean isTokenValid(HttpServletRequest request) {
        String clientToken = request.getParameter("token");
        if (clientToken == null) return false;

        String serverToken = (String) request.getSession().getAttribute("token");
        if (serverToken == null) return false;

        return clientToken.equals(serverToken);
    }

    protected void doPost(HttpServletRequest request, HttpServletResponse response)
            throws ServletException, IOException {
        doGet(request, response);
    }
}

關鍵點總結

• Token 必須具備不可預測性，使用 MD5 + Base64 編碼增強安全性
• Session 儲存 Token 確保使用者隔離，不同使用者 Token 不互相干擾
• 驗證成功後立即移除 Token，實現一次性使用語義
• 適用於註冊、下單、支付等業務幂等性要求高的場景

進階擴展建議

實際專案中可考慮：

• 使用 AtomicReference 或 ConcurrentHashMap 替代 Session，支援分散式部署
• 結合 Redis 實現跨伺服器 Token 共享
• 前端配合按鈕提交後disabled屬性，雙重防護