php返回json时需确保单点输出、校验令牌防重复提交、前端安全解析并统一响应结构。应避免多次echo、用exit终止流程、生成随机token绑定状态、检查content-type、try/catch解析、约定code字段判成功。
PHP 返回 JSON 时如何避免重复响应
PHP 脚本在 AJAX 请求中多次 echo json_encode(...) 或意外触发多次输出，会导致前端收到拼接乱码（如 {"a":1}{"b":2}），浏览器 JSON.parse() 直接报错 SyntaxError: Unexpected token {。根本原因不是 JSON 本身重复，而是 HTTP 响应体被多次写入。
- 检查是否在条件分支外、循环内、或错误处理后遗漏了
exit/die，导致后续代码继续执行并再次输出 - 避免在函数中直接输出 JSON 后不终止流程；推荐统一用
return+ 外层集中输出 - 使用
headers_sent()在输出前做防护：若已发送头或内容，立刻trigger_error('JSON already sent', E_USER_WARNING)并exit - 开启
output_buffering（php.ini 或@ob_start()）可缓冲输出，便于统一控制，但不能替代逻辑上的单点出口
防止表单重复提交的 PHP 侧关键动作
前端防抖只是辅助，真正可靠的重复提交拦截必须落在服务端——靠一次性令牌（token）+ 状态绑定。PHP 中不要依赖 session ID 或时间戳单独判断，它们易被绕过或误判。
- 生成 token：用
bin2hex(random_bytes(16))创建高强度随机字符串，存入$_SESSION['form_token']，同时写入 Redis 或数据库（带过期时间，如 300 秒） - 校验时机：在接收 POST 数据后、业务逻辑前，立即比对请求中的
$_POST['token']与存储值，校验通过后立刻DELETE或SET expire该 token - 返回 JSON 必须包含明确状态：成功时返回
{"status":"ok","data":{...}}；失败时返回{"status":"error","code":"token_invalid","message":"请勿重复提交"}，前端据此禁用按钮并提示 - 注意：不要在 token 校验失败时仍执行业务逻辑（如扣款、发邮件），这是常见漏洞点
前端拿到 PHP 的 JSON 响应后怎么安全解析
即使 PHP 后端逻辑正确，前端若用 responseText 或未检查 Content-Type 就调用 JSON.parse()，仍可能因网络中断、Nginx 错误页、或 PHP fatal error 输出的 HTML 混入响应而崩溃。
- 务必检查
response.headers.get('Content-Type')?.includes('application/json')（Fetch）或xhr.getResponseHeader('Content-Type')（XMLHttpRequest） - 用
try/catch包裹JSON.parse()，捕获SyntaxError并记录原始response.text，方便排查是后端多输出、还是 Nginx 返回了 500 HTML - 约定后端所有 JSON 接口统一返回标准结构，例如必含
code字段（0表示成功），前端只信任code === 0时的数据，忽略其他字段 - 避免直接把
data当对象用：先if (typeof data === 'object' && data !== null)再访问属性，防止后端空响应或返回字符串引发Cannot read property 'xxx' of undefined
调试 JSON 返回异常的三个实操步骤
当发现前端收不到 JSON 或解析失败，别急着改代码，先确认数据链路真实状态。
立即学习“PHP免费学习笔记（深入）”；
- 用
curl -v http://your-api.com/submit.php直接看原始响应头和 body，确认是否含Content-Type: application/json，以及 body 是否为纯 JSON（无 warning、notice 输出） - 在 PHP 中临时加
error_log(print_r(xdebug_get_headers(), true), 3, '/tmp/php-headers.log');和error_log("RESPONSE: " . ob_get_contents(), 3, '/tmp/php-response.log');，确认输出缓冲和 header 发送顺序 - 查 Nginx/Apache access log 与 error log，过滤对应 URL 和时间戳，确认是否被 WAF 拦截、或 PHP-FPM worker crash 导致返回了 502/504 页面
最常被忽略的是 PHP 的 display_errors = On 导致 warning 直接混进 JSON；上线环境必须关掉，用日志代替屏幕输出。
