如何防止 AJAX 表单提交中的伪造请求与重复提交-php教程-PHP中文网

如何防止 AJAX 表单提交中的伪造请求与重复提交

本文介绍通过 token 验证、前端校验和后端防护三重机制，有效阻止恶意或重复的 ajax 表单提交，避免 php 后端接收伪造请求导致的数据异常或安全风险。

本文介绍通过 token 验证、前端校验和后端防护三重机制，有效阻止恶意或重复的 ajax 表单提交，避免 php 后端接收伪造请求导致的数据异常或安全风险。

在使用 AJAX（如 jQuery 的 $.post）向 PHP 后端提交表单数据时，若缺乏防护措施，攻击者可绕过前端直接构造 POST 请求，伪造用户身份发送非法数据——即所谓“假请求”（fake request）。你提供的代码中，#submitmsg 点击后直接发送用户名和消息，未做任何验证或防重放机制，极易被滥用。

✅ 推荐解决方案：服务端 Token + 前端传递 + 后端校验

1. 生成并存储一次性 Token（PHP 端）

在用户访问页面前（例如 index.php 或登录后），生成并存入 Session：

<?php session_start();
if (empty($_SESSION['token'])) {
    $_SESSION['token'] = bin2hex(random_bytes(32)); // 更安全替代 md5(uniqid())
}
?>

⚠️ 注意：避免使用 md5(uniqid(mt_rand(), true)) —— mt_rand() 可预测，uniqid() 无熵，易被爆破。推荐 random_bytes()（PHP 7+）或 openssl_random_pseudo_bytes()。

2. 前端获取 Token 并随 AJAX 发送

将 Token 注入 HTML（如标签）或通过 API 获取。推荐方式如下（在页面

jQuery金融借款单提交表单

jQuery金融借款单提交表单，包含出借金额和日期的选择，且自动计算利息，非常的简单方便。

下载

中）：

<meta name="csrf-token" content="<?php echo htmlspecialchars($_SESSION['token']); ?>">

然后修改 JavaScript：

$(document).ready(function () {
    $("#submitmsg").click(function (e) {
        e.preventDefault(); // ✅ 关键：阻止默认行为（尤其当按钮在 form 内时）

        const usrmsg = $.trim($("#Text").val());
        const username = localStorage.getItem("user");
        const token = $('meta[name="csrf-token"]').attr('content');

        // ✅ 前端基础校验（提升体验 & 初步过滤）
        if (!username || !usrmsg || usrmsg.length  500) {
            alert("请输入有效消息（1–500 字符）");
            return false;
        }

        $.post("send.php", {
            text: usrmsg,
            user: username,
            token: token
        }, function(result) {
            $("#Text").val(""); // 清空输入框
            console.log("提交成功：", result);
        }).fail(function() {
            alert("提交失败，请稍后重试");
        });
    });
});

3. 后端严格验证 Token 并立即刷新（防重放）

在 send.php 开头加入强校验逻辑：

<?php session_start();

// 必须存在且匹配
if (!isset($_POST['token']) || !hash_equals($_SESSION['token'], $_POST['token'])) {
    http_response_code(403);
    die('Invalid or expired token.');
}

// ✅ 验证通过后立即更新 Token（单次有效）
$newToken = bin2hex(random_bytes(32));
$_SESSION['token'] = $newToken;

// ✅ 同时校验业务参数
$username = filter_input(INPUT_POST, 'user', FILTER_SANITIZE_STRING);
$text = filter_input(INPUT_POST, 'text', FILTER_SANITIZE_STRING);

if (empty($username) || empty($text) || strlen($text) > 500) {
    http_response_code(400);
    die('Invalid input.');
}

// ✅ 执行实际业务逻辑（如插入数据库）
// ... your save logic here ...

// 可选：返回 JSON 响应便于前端处理
header('Content-Type: application/json');
echo json_encode(['status' => 'success', 'token' => $newToken]);
?>