如何防止前端伪造请求导致后端误提交表单-php教程-PHP中文网

如何防止前端伪造请求导致后端误提交表单

本文介绍通过令牌（token）机制、前端预校验与验证码等多重手段，有效拦截伪造的 ajax 表单提交，保障 php 后端接口安全，避免因缺失验证导致的虚假数据入库或业务逻辑异常。

本文介绍通过令牌（token）机制、前端预校验与验证码等多重手段，有效拦截伪造的 ajax 表单提交，保障 php 后端接口安全，避免因缺失验证导致的虚假数据入库或业务逻辑异常。

在使用 AJAX（如 jQuery 的 $.post）向 PHP 后端提交数据时，仅靠前端绑定按钮点击事件（如 #submitmsg.click()）无法阻止恶意用户绕过界面、直接构造 POST 请求发起“假提交”。你当前的代码中，return false 仅终止了默认事件行为，但对服务器端完全无防护力——攻击者可轻松用 curl、Postman 或脚本模拟请求，传入任意 user 和 text，造成数据污染或越权操作。

✅ 推荐解决方案：服务端 Token 验证（防 CSRF）

核心思路是引入一次性、服务端生成并校验的随机令牌（Token），确保每次请求均来自合法会话上下文。

根据ui图生成前端页面

将一个或多个 UI 原型图、线框图、产品截图或设计稿转换为标准化、可直接交付的 PRD 风格文档，供产品、设计、前端和测试共同使用。适用于 Codex 需要分析 PC 网页、桌面端、移动端、响应式页面、独立弹窗、表单、表格、看板、数据大屏或多页面流程截图，还原页面结构与交互，强制套用固定文档模板，抽取跨页面共享规则，或把一组原型沉淀为单页规范文档加整体业务流程文档的场景。不适用于纯视觉审美点评、代码实现、接口设计、埋点方案、竞品分析或无 UI 输入的业务需求创作。

下载

1. 前端：获取并携带 Token
修改初始化逻辑，在页面加载时从服务端获取 Token（或由 PHP 模板注入），并在 AJAX 请求中一并发送：

$(document).ready(function () {
    // 假设 Token 已由 PHP 输出到全局变量（更安全做法是通过 API 获取）
    const token = $('#csrf-token').data('token') || ''; // 如：<meta id="csrf-token" data-token="<?= $_SESSION['token'] ?>">

    $("#submitmsg").click(function (e) {
        e.preventDefault(); // 推荐替代 return false，语义更清晰

        const usrmsg = $("#Text").val().trim();
        const username = localStorage.getItem("user");

        // 基础前端校验（提升体验，非安全依赖）
        if (!username || !usrmsg) {
            alert("用户名或消息不能为空");
            return;
        }

        $.post("send.php", {
            text: usrmsg,
            user: username,
            token: token // 关键：传递服务端颁发的令牌
        }, function(result) {
            console.log("提交成功:", result);
            $("#Text").val("");
        }).fail(function() {
            alert("提交失败，请稍后重试");
        });
    });
});

2. 后端（PHP）：生成、校验与销毁 Token
在 send.php 中严格校验 Token，并建议一次使用后失效（增强安全性）：

<?php session_start();

// 1. 校验 Token 是否存在且匹配
if (!isset($_POST['token']) || !hash_equals($_SESSION['token'] ?? '', $_POST['token'])) {
    http_response_code(403);
    die('Invalid or expired token.');
}

// 2. 【可选但推荐】Token 一次性使用：校验后立即重置
$_SESSION['token'] = md5(uniqid(mt_rand(), true));

// 3. 安全获取参数（过滤+类型校验）
$username = filter_input(INPUT_POST, 'user', FILTER_SANITIZE_STRING);
$text     = filter_input(INPUT_POST, 'text', FILTER_SANITIZE_STRING);

if (empty($username) || empty($text)) {
    die('Missing required fields.');
}

// ✅ 此处执行业务逻辑（如写入数据库）
// $pdo->prepare("INSERT INTO messages (...) VALUES (?, ?)")->execute([$username, $text]);
echo json_encode(['status' => 'success']);
?>

⚠️ 注意事项：

永远不要信任前端传来的任何数据：$_POST['user'] 可被篡改，需结合登录态（如 $_SESSION['logged_in_user']）二次校验身份；

hash_equals() 替代 ==：防止时序攻击；

Token 存储位置：推荐存于 $_SESSION（服务端），避免暴露在 HTML 中被爬取；

配合 HTTPS：防止 Token 在传输中被劫持。