最有效防重复提交需四层联动：1.前端按钮禁用+置灰；2.服务端session时间戳限频；3.一次性token校验并销毁；4.数据库唯一索引兜底。缺一不可。
用 session + 时间戳判断是否重复提交
用户快速连点提交按钮，或刷新页面后重发表单，最常见也最易实现的拦截方式就是靠服务端记录「上一次提交时间」。PHP 中用 $_SESSION 存一个时间戳，每次提交前比对间隔是否小于阈值（比如 2 秒）：
session_start();
if (isset($_SESSION['last_submit_time']) && time() - $_SESSION['last_submit_time'] < 2) {
die('提交过于频繁，请稍后再试');
}
$_SESSION['last_submit_time'] = time();
注意点：
- 必须在
session_start()后立即执行，否则$_SESSION不可用 - 这个方案对同一浏览器有效，但无法防多标签/多窗口并发提交
- 如果用户禁用 Cookie 或未维持 session，会失效
用一次性 token 防 CSRF 和重复提交
更可靠的做法是生成唯一 token，嵌入表单并存入 session，提交时校验且立即销毁。这是兼顾安全性与幂等性的标准做法：
session_start();
if (empty($_SESSION['form_token'])) {
$_SESSION['form_token'] = bin2hex(random_bytes(16));
}
$token = $_SESSION['form_token'];
HTML 表单中加隐藏域：
立即学习“PHP免费学习笔记（深入）”；
接收时验证并清空：
session_start();
if (!isset($_POST['token']) || $_POST['token'] !== $_SESSION['form_token']) {
die('非法请求或重复提交');
}
unset($_SESSION['form_token']); // 关键：用完即焚
常见坑：
- 没调用
unset($_SESSION['form_token'])就返回成功，会导致后续合法提交失败 - 没对
$token做htmlspecialchars()输出，可能引发 XSS - 用
md5(time())这类可预测值当 token，容易被绕过
前端配合：按钮置灰 + 禁用重复点击
纯后端防不住所有情况，前端要第一时间阻断二次点击。关键不是靠 CSS 样式遮罩，而是真正禁用提交动作：
注意：
- 仅靠
btn.disabled = true不够——用户刷新页面后仍可再点，必须和服务端 token 机制联动 - 不要用
setTimeout延迟恢复按钮，万一后端卡住，用户会以为没提交成功而狂点 - 如果用了 AJAX 提交，记得在
fetch或axios的finally里恢复按钮状态
数据库层加唯一约束兜底
即使前后端都做了防护，极端情况下（如网络超时导致用户误以为失败而重试），最终落地数据仍可能重复。这时靠数据库唯一索引是最硬的防线：
例如用户注册场景，要求 email 字段唯一：
ALTER TABLE users ADD UNIQUE KEY uk_email (email);
PHP 插入时捕获异常：
try {
$pdo->prepare("INSERT INTO users (email, name) VALUES (?, ?)")->execute([$email, $name]);
} catch (PDOException $e) {
if ($e->getCode() == 23000) { // MySQL 唯一键冲突错误码
die('该邮箱已被注册');
}
throw $e;
}
这步常被跳过，但它才是真正防止脏数据入库的最后一道闸。尤其在分布式或高并发写入时，光靠应用层锁或 token 很难 100% 覆盖。
token 生效范围、session 生命周期、前端禁用时机、数据库约束粒度——这几个点稍有错位，重复提交就可能漏网。别只盯着一个环节使劲。
