PHP实现接口防抖_防止按钮多次点击提交【介绍】-php教程-PHP中文网

php后端应使用redis原子性set命令（如set submit_token:abc123 1 ex 30 nx）校验一次性token，返回ok则为新请求，否则返回425错误并终止执行；token须由php生成（bin2hex(random_bytes(16))）、随页面或api下发，严禁前端生成或长期存储。

php实现接口防抖_防止按钮多次点击提交【介绍】

PHP后端如何识别并拦截重复提交

纯前端防抖（比如按钮置灰、加loading）根本不可靠——用户可以绕过JS直接发请求，或者用Postman反复重放。真正的防抖必须由PHP后端验证请求是否“已处理过”。核心思路是：每次提交带唯一标识（如submit_token），PHP收到后先查这个token是否已存在且未过期，存在则直接返回错误，不执行业务逻辑。

注意：不能只依赖$_SESSION存token——分布式部署时session可能不共享；也不能只用数据库锁——高并发下性能差。稳妥做法是用Redis做原子性校验：

SET submit_token:abc123 1 EX 30 NX（30秒内唯一，NX保证仅首次成功）
返回1表示新请求，继续处理；返回null说明已被提交过
业务成功后无需主动删token——EX自动过期，避免清理遗漏

如何生成和下发submit_token给前端

token不能由前端生成（可伪造），必须由PHP生成并随页面/接口响应一起返回。常见两种场景：

表单页渲染时注入：

session_start();
$token = bin2hex(random_bytes(16));
$_SESSION['submit_token'] = $token;
// 同时写入Redis（供接口校验）
redis()->setex('submit_token:'.$token, 30, 1);

API接口预获取token（适合SPA）：

// /api/get-submit-token
echo json_encode(['token' => bin2hex(random_bytes(16))]);

关键点：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

token长度建议≥32字符（避免碰撞），用random_bytes()而非mt_rand()
不要把token塞进cookie或localStorage长期存——每次提交都应换新token
如果用$_SESSION中转，需确保session未被劫持（启用session.cookie_httponly）

提交接口里怎么校验submit_token

接收POST/JSON数据后，第一步不是处理业务，而是校验token有效性。典型流程：

$token = $_POST['submit_token'] ?? '';
if (empty($token) || !is_string($token) || strlen($token) set('submit_token:'.$token, 1, ['nx', 'ex' => 30]);
if ($result !== 'OK') {
    http_response_code(425);
    exit('Request already submitted');
}

注意几个坑：