php防重复提交应采用token机制：一、session token一次性验证；二、双token检查；三、cookie+timestamp联合校验；四、数据库唯一索引约束；五、前端禁用+token同步校验。
如果您在PHP应用中发现用户刷新页面或重复点击提交按钮导致表单数据多次写入数据库，则很可能是缺乏有效的防重复提交机制。以下是基于令牌（Token）实现的安全防护方法：
一、Session Token 一次性验证法
该方法利用 PHP Session 存储唯一 Token，并在表单提交后立即销毁或更新 Session 中的 Token 值，确保同一 Token 只能被验证成功一次，从而阻断重复提交路径。
1、在表单页面顶部调用 session_start() 启动会话。
2、生成唯一 Token 并存入 Session：$_SESSION['form_token'] = bin2hex(random_bytes(32));
3、将 Token 嵌入表单作为隐藏字段：php echo $_SESSION['form_token']; ?>">
4、接收 POST 请求后，校验 Token 是否匹配且存在：if (isset($_POST['token']) && hash_equals($_SESSION['form_token'], $_POST['token']))
5、验证通过后立即重置 Session 中的 Token：unset($_SESSION['form_token']); 或赋新值。
二、双 Token 检查机制（提交前+提交后）
此方法在客户端保留一个初始 Token，在服务端维护两个状态：预提交 Token 与已提交 Token。通过比对两者差异识别是否为首次提交，适用于多步骤表单或需保留原始 Token 场景。
1、页面加载时生成两个 Token：$pre_token = bin2hex(random_bytes(16)); $post_token = bin2hex(random_bytes(16));
2、将 $pre_token 存入 Session，$post_token 写入表单 hidden 字段。
3、提交时验证 hidden 字段值是否等于 Session 中的 $pre_token。
4、验证成功后，将 Session 中的 $pre_token 替换为 $post_token。
5、后续重复提交将因 hidden 字段值（仍为旧 $post_token）与 Session 新值不一致而失败。
三、Cookie + Timestamp 联合校验法
该方案不依赖 Session，而是将 Token 与时间戳组合后加密写入 Cookie，服务端解密并校验时效性与唯一性，适合无状态或分布式部署环境。
1、生成带时间戳的 Token：$token = hash_hmac('sha256', time() . uniqid(), 'salt_key');
2、设置 HttpOnly Cookie：setcookie('form_token', $token, time()+300, '/', '', false, true);
3、表单中嵌入当前时间戳：
4、提交时读取 Cookie 和 POST 中的 ts，重新计算 HMAC：hash_hmac('sha256', $_POST['ts'] . uniqid(), 'salt_key')
5、若计算结果与 Cookie 值一致且 time() - $_POST['ts'] ，则允许处理。
四、数据库唯一索引约束辅助法
该方法作为 Token 验证的底层补充，在数据库层面强制拦截重复插入，防止因 Token 机制失效或绕过导致的数据污染。
1、在业务表中添加联合唯一索引，覆盖用户 ID、操作类型、关键参数及时间窗口字段：ALTER TABLE user_order ADD UNIQUE INDEX uk_user_action_time (user_id, action_type, md5(param_data), DATE(created_at));
2、插入前不预先查询，直接执行 INSERT … ON DUPLICATE KEY UPDATE 或 INSERT IGNORE。
3、捕获 SQLSTATE '23000' 错误码，返回“操作已存在”提示而非内部错误。
4、确保 param_data 经过标准化处理（如 JSON 排序、空格清理），避免语义相同但字符串不同导致索引失效。
五、前端按钮禁用 + Token 同步校验法
该方法从前端交互层切断重复触发源头，同时与后端 Token 机制联动，形成双重保障，适用于高敏感操作如支付、注册等。
1、表单提交函数中添加按钮禁用逻辑：document.getElementById('submitBtn').disabled = true;
2、使用 JavaScript 生成临时 Token 并附加至 FormData：formData.append('js_token', btoa(Math.random().toString(36).substr(2, 9)));
3、PHP 端验证该 js_token 是否未在最近 60 秒内被使用过，记录于 Redis：if ($redis->exists('js_token:' . $_POST['js_token'])) { die('重复请求'); } $redis->setex('js_token:' . $_POST['js_token'], 60, 1);
4、禁用状态在响应成功后由 JS 解除，或在页面跳转前保持禁用。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
