最有效防重复提交需四层联动：1.前端按钮禁用+置灰；2.服务端session时间戳限频；3.一次性token校验并销毁；4.数据库唯一索引兜底。缺一不可。
用 session + 时间戳判断是否重复提交
用户快速连点提交按钮，或刷新页面后重发表单，最常见也最易实现的拦截方式就是靠服务端记录「上一次提交时间」。PHP 中用 $_SESSION 存一个时间戳，每次提交前比对间隔是否小于阈值（比如 2 秒）：
session_start();
if (isset($_SESSION['last_submit_time']) && time() - $_SESSION['last_submit_time'] < 2) {
die('提交过于频繁，请稍后再试');
}
$_SESSION['last_submit_time'] = time();
注意点：
- 必须在
session_start()后立即执行，否则$_SESSION不可用 - 这个方案对同一浏览器有效，但无法防多标签/多窗口并发提交
- 如果用户禁用 Cookie 或未维持 session，会失效
用一次性 token 防 CSRF 和重复提交
更可靠的做法是生成唯一 token，嵌入表单并存入 session，提交时校验且立即销毁。这是兼顾安全性与幂等性的标准做法：
session_start();
if (empty($_SESSION['form_token'])) {
$_SESSION['form_token'] = bin2hex(random_bytes(16));
}
$token = $_SESSION['form_token'];
HTML 表单中加隐藏域：
立即学习“PHP免费学习笔记（深入）”；
<input type="hidden" name="token" value="<?php echo htmlspecialchars($token); ?>">
接收时验证并清空：
session_start();
if (!isset($_POST['token']) || $_POST['token'] !== $_SESSION['form_token']) {
die('非法请求或重复提交');
}
unset($_SESSION['form_token']); // 关键：用完即焚
常见坑：
Session Handoff
下载
创建全面的交接文档，使新AI代理能够无缝继续工作，消除歧义。解决上下文耗尽问题。 时机：(1)用户请求保存交接，(2)上下文即将满，(3)主要任务完成，(4)会话结束，(5)恢复工作时。 关键词：保存状态、创建交接、上下文已满、暂停、从...恢复、加载交接、保存进度、会话转移、交接
- 没调用
unset($_SESSION['form_token'])就返回成功，会导致后续合法提交失败 - 没对
$token做htmlspecialchars()输出，可能引发 XSS - 用
md5(time())这类可预测值当 token，容易被绕过
前端配合：按钮置灰 + 禁用重复点击
纯后端防不住所有情况，前端要第一时间阻断二次点击。关键不是靠 CSS 样式遮罩，而是真正禁用提交动作：
<form id="myForm">
<button type="submit" id="submitBtn">提交</button>
</form>
<p><script>
document.getElementById('myForm').addEventListener('submit', function(e) {
const btn = document.getElementById('submitBtn');
btn.disabled = true;
btn.textContent = '提交中...';
});
</script>
注意：
- 仅靠
btn.disabled = true不够——用户刷新页面后仍可再点，必须和服务端 token 机制联动 - 不要用
setTimeout延迟恢复按钮，万一后端卡住，用户会以为没提交成功而狂点 - 如果用了 AJAX 提交，记得在
fetch或axios的finally里恢复按钮状态
数据库层加唯一约束兜底
即使前后端都做了防护，极端情况下（如网络超时导致用户误以为失败而重试），最终落地数据仍可能重复。这时靠数据库唯一索引是最硬的防线：
例如用户注册场景，要求 email 字段唯一：
ALTER TABLE users ADD UNIQUE KEY uk_email (email);
PHP 插入时捕获异常：
try {
$pdo->prepare("INSERT INTO users (email, name) VALUES (?, ?)")->execute([$email, $name]);
} catch (PDOException $e) {
if ($e->getCode() == 23000) { // MySQL 唯一键冲突错误码
die('该邮箱已被注册');
}
throw $e;
}
这步常被跳过，但它才是真正防止脏数据入库的最后一道闸。尤其在分布式或高并发写入时，光靠应用层锁或 token 很难 100% 覆盖。
token 生效范围、session 生命周期、前端禁用时机、数据库约束粒度——这几个点稍有错位，重复提交就可能漏网。别只盯着一个环节使劲。
