怎样在ThinkPHP中实现CSRF Token的一次性校验【安全】-ThinkPHP-PHP中文网

thinkphp的csrf token默认为一次性，校验成功后自动销毁以防止重放攻击；其失效主因是生成与校验时机错配、页面缓存复用旧值、多标签页共用token或ajax未动态更新隐藏域。

怎样在thinkphp中实现csrf token的一次性校验【安全】

CSRF Token 生成后为什么第二次请求就失效？

ThinkPHP 默认的 token() 函数生成的是「一次性 Token」，即校验成功后自动销毁。这不是 Bug，而是设计行为——它强制要求每个表单提交都必须用新 Token，防止重放攻击。但很多人误以为要手动刷新 Token，其实框架已内置处理逻辑，关键在于调用时机和位置。

必须在渲染表单前调用 token()（比如在控制器 assign 前或模板中直接写 {:token()}），否则生成的 Token 可能已被后续操作覆盖
不要在 AJAX 请求里反复调用 token() 而不更新页面上的 hidden 字段，会导致前后端 Token 不一致
如果用了缓存（如模板缓存或页面静态化），{:token()} 可能被固化，下次请求仍提交旧值 → 校验失败

如何确保每次表单都带有效且唯一的新 Token？

最稳妥的方式是在控制器中显式生成并传入模板，而不是依赖模板函数自动触发。这样可控制生命周期，避免因模板缓存、多 tab 打开等导致 Token 冲突。

在控制器方法中调用 $this->assign('token', token())，然后模板用 <input type="hidden" name="__token__" value="{$token}">
若需 AJAX 提交，可在接口返回 JSON 时附带新 Token：['token' => token(), 'data' => [...]]，前端替换表单 hidden 值后再提交
禁用模板缓存：在模板顶部加 {:define('__CACHE__', false)}，或配置 'template' => ['cache' => false]

POST 请求校验失败时怎么快速定位是 Token 问题？

ThinkPHP 抛出的错误通常是 Token error 或 HTTP 400，但背后原因可能不同。开启调试模式后，日志里会记录具体失败类型：

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

Token expired：Session 过期或未启用 Session（检查 session.auto_start 是否为 true）
Token mismatch：提交的 __token__ 值与 Session 中存储的不一致（常见于并发提交、跨域、多标签共用同一页面）
Token empty：表单没传 __token__ 字段，或字段名被 JS 误删/重命名
注意：ThinkPHP 6.0+ 默认只校验 POST 请求，GET 请求不校验；若需 GET 校验，得手动调用 validateToken()

要不要自定义 Token 存储方式以支持分布式部署？

默认 Token 存在 Session 里，单机没问题；但集群环境下，不同服务器间 Session 不共享会导致校验失败。此时不能简单换 Redis 存 Session —— 因为 Token 校验逻辑硬编码依赖 Session::get('__token__')，而 ThinkPHP 的 Session 驱动本身支持 Redis，只要配置正确即可。