使用令牌机制可有效防止表单重复提交：1. 表单生成时创建唯一令牌并存入session，嵌入隐藏字段；2. 提交时后端验证令牌一致性并通过后立即销毁；3. 前端禁用提交按钮防止误操作；4. 令牌应具备时效性、不可预测性，不同表单使用不同键名，结合post-redirect-get模式提升安全性与体验。
防止表单重复提交是Web开发中的常见需求，特别是在处理订单、支付、注册等关键操作时。PHP结合前端可以通过“令牌（Token）机制”有效解决这个问题。核心思路是在表单生成时下发一个唯一令牌，提交时由后端验证该令牌的合法性与唯一性，验证通过后立即销毁，避免二次使用。
1. 生成并下发唯一令牌
在展示表单的PHP页面中，生成一个随机且唯一的令牌，并将其保存到Session中，同时嵌入表单作为隐藏字段。
<strong><?php
session_start();
// 生成唯一令牌
$token = md5(uniqid(mt_rand(), true));
$_SESSION['form_token'] = $token;
?>
<form method="POST" action="submit.php">
<input type="text" name="username" />
<input type="hidden" name="form_token" value="<?php echo $token; ?>" />
<button type="submit">提交</button>
</form></strong>
2. 后端验证并销毁令牌
在接收表单的PHP脚本中，检查提交的令牌是否与Session中的一致。验证通过后，立即清空Session中的令牌，确保同一令牌无法再次提交。
<strong><?php
session_start();
if ($_POST) {
// 检查令牌是否存在
if (!isset($_POST['form_token']) || !isset($_SESSION['form_token'])) {
die("非法请求或表单已过期");
}
// 验证令牌一致性
if ($_POST['form_token'] !== $_SESSION['form_token']) {
die("重复提交或令牌无效");
}
// 验证通过后立即清除令牌（关键步骤）
unset($_SESSION['form_token']);
// 处理业务逻辑（如写数据库、发邮件等）
$username = htmlspecialchars($_POST['username']);
echo "提交成功：欢迎，{$username}";
} else {
header("Location: form.php");
exit;
}
?></strong>
3. 前端配合优化用户体验
除了后端防护，前端也可以辅助防止误操作导致的重复点击。例如在提交后禁用按钮，或使用JavaScript提示用户不要刷新页面。
立即学习“PHP免费学习笔记（深入）”；
<strong><script>
document.querySelector('form').addEventListener('submit', function(e) {
const btn = this.querySelector('button[type="submit"]');
if (btn.disabled) {
e.preventDefault(); // 已提交则阻止再次提交
return;
}
btn.disabled = true;
btn.textContent = '提交中...';
});
</script></strong>
注意：前端限制不能替代后端验证，仅用于提升体验。
4. 扩展建议与注意事项
- 令牌可加入时间戳，设置有效期（如5分钟），增强安全性
- 对多表单页面，可用不同键名区分（如 $_SESSION['token_register']）
- 避免使用自增ID或简单字符串作为令牌，防止被猜测
- 提交成功后建议使用“Post-Redirect-Get”模式跳转结果页，避免刷新重复提交
基本上就这些。令牌机制简单高效，只要前后端配合好，就能可靠防止重复提交。关键是“一次使用即失效”的设计原则不能省略。
