php表单重复提交的根源是浏览器多次触发post请求，典型表现是后端收到多条相同数据；最可靠方案是session+一次性token校验，需生成、比对并立即销毁，且须前后端配合禁用按钮。
PHP 表单重复提交的典型表现和根源
用户点击一次提交按钮，后端却收到多条相同数据，日志里出现连续几条 INSERT INTO users 记录，或者订单号重复生成——这基本是重复提交的明确信号。根本原因不在 PHP 本身，而在于浏览器行为：用户手快连点、刷新成功页、后退再提交、或脚本未禁用按钮导致多次触发 POST 请求。
用 session + token 防止重复提交（最常用可靠方案）
核心思路是「一次性令牌」：表单渲染时生成唯一 token 存入 $_SESSION，同时作为隐藏字段输出；提交时比对并立即销毁该 token。不匹配或已销毁即拒绝处理。
实操要点：
- 务必在
session_start()后生成token，推荐用bin2hex(random_bytes(16))（PHP 7+），避免md5(time())这类可预测值 - 表单中必须包含：
<input type="hidden" name="token" value="<?= $_SESSION['form_token'] ?? '' ?>"> - 服务端验证逻辑要放在业务处理前，且验证失败后直接
exit或返回错误，不要继续执行插入逻辑 - 注意：若表单跨多个页面（如多步向导），每个步骤需独立 token，不可复用
// 表单页（form.php）
session_start();
$_SESSION['form_token'] = bin2hex(random_bytes(16));
// 处理页（handle.php）
session_start();
if (!isset($_POST['token']) || !hash_equals($_SESSION['form_token'] ?? '', $_POST['token'])) {
die('Invalid or expired token');
}
unset($_SESSION['form_token']); // 严格销毁
// ✅ 此时才执行数据库插入等操作
前端配合：按钮禁用 + 防误触 UI
仅靠后端 token 不足以改善用户体验，用户仍可能看到“提交中”却无反馈，进而反复点击。必须配合前端控制：
立即学习“PHP免费学习笔记（深入）”；
- 提交瞬间用 JavaScript 禁用按钮：
button.disabled = true，并可改文字为“提交中…” - 避免用
onclick="return false"这类简单拦截，它无法阻止通过脚本或快捷键重复触发 - 如果使用 AJAX 提交，应在
fetch或$.ajax的beforeSend钩子里禁用按钮，并在finally中恢复（但仅限成功/失败后，别在 loading 状态就恢复） - 注意：前端禁用纯属体验优化，可被绕过，绝不能替代后端 token 校验
其他场景下的补充手段
某些特殊需求需要叠加防护：
- 支付类表单：除 token 外，建议在数据库加唯一索引（如
order_no），让重复插入直接报SQLSTATE[23000]: Integrity constraint violation，然后捕获该错误返回友好提示 - 高并发抢购：单靠 session token 不够，需引入 Redis 分布式锁（
SETNX）或预扣库存 + 消息队列异步落库 - 防止 F5 刷新重复提交：可在处理成功后强制重定向（
header('Location: success.php')），即 PRG 模式，避免用户停留在 POST 页面 - 不要依赖
$_SERVER['HTTP_REFERER']做校验——它可伪造、可为空、跨域时丢失，实际无效
真正起作用的是 token 的一次性销毁机制，以及前后端配合的用户引导。最容易被忽略的是：token 生成后没做 exit 或没 unset，或者把 token 放在 URL 参数里传（会被缓存、记录、泄露）。
