PHP Token 機制防止表單重複提交：原理與最佳實踐

PHP Token 機制防止表單重複提交：原理與最佳實踐

表單重複提交會導致重複訂單、多次扣款等嚴重業務問題。本文詳解基於 Session 的 Token 驗證機制，提供生產級可復用實現，涵蓋生成、驗證、自動刷新、多標籤頁支援。

核心原理

1. 頁面加載時生成唯一 Token 存入 Session 並輸出到表單隱藏域
2. 表單提交時攜帶 Token，服務端驗證與 Session 一致性
3. 驗證通過後立即刷新 Session Token，失效舊 Token
4. 刷新頁面獲取新 Token，防止瀏覽器回退重複提交

輕量級實現

    
    
    提交

進階版：支援多表單並發

class TokenManager {
    private static $tokens = [];
    
    public static function generate($formName = 'default') {
        $token = bin2hex(random_bytes(32));
        $_SESSION['tokens'][$formName] = $token;
        return $token;
    }
    
    public static function validate($formName, $token) {
        if (!isset($_SESSION['tokens'][$formName])) return false;
        if (!hash_equals($_SESSION['tokens'][$formName], $token)) return false;
        
        // 驗證成功後刷新
        self::generate($formName);
        return true;
    }
    
    public static function get($formName = 'default') {
        return $_SESSION['tokens'][$formName] ?? self::generate($formName);
    }
}

// 使用
$token = TokenManager::get('order_form');
// 模板輸出: 

// 驗證
if (TokenManager::validate('order_form', $_POST['token'])) {
    // 處理訂單
}

前端配合：防止按鈕重複點擊

$('form').on('submit', function() {
    const $btn = $(this).find('button[type="submit"]');
    $btn.prop('disabled', true).text('提交中...');
    
    // 可選：AJAX 提交
    $.post(this.action, $(this).serialize(), function(res) {
        $btn.prop('disabled', false).text('提交');
        if (res.code === 0) location.reload();
        else alert(res.msg);
    }, 'json');
    
    return false;  // 阻止默認提交，由 AJAX 處理
});

常見問題與解決方案

安全增強建議

• 使用 hash_equals() 防止時序攻擊
• Token 使用 random_bytes() 生成，而非 md5(uniqid())
• 關鍵操作（支付、刪除）添加二次確認（彈窗/短信驗證碼）
• 配合 SameSite=Strict Cookie 屬性防禦 CSRF
• 記錄 Token 驗證失敗日誌，監控異常流量

Token 機制是 Web 安全基礎設施的核心組件，正確實現能有效阻斷 99% 的重複提交與 CSRF 攻擊。