表单提交后应立即禁用按钮并添加提交标记防重复，ThinkPHP需显式生成token、校验且配置session与中间件，POST-REDIRECT-GET需配合history.replaceState或刷新检测，token校验须注意数据获取方式及生命周期。
表单提交后怎么立刻禁用按钮
用户点一次就发两次请求，八成是因为没禁用按钮。浏览器不会自动帮你锁住，得自己加逻辑。
- 前端用
disabled属性最直接，但注意别只靠它——禁用只是 UI 层遮掩，绕过 JS 仍可提交 - 推荐组合：点击后设
button.disabled = true+ 同时给表单加一个标记（如data-submitted="true"），提交前先检查这个标记 - 别在
submit事件里用event.preventDefault()后再手动fetch就忘了恢复按钮状态，容易卡死在“已禁用”
ThinkPHP 的 token 验证怎么配才生效
ThinkPHP 自带的表单令牌机制不是开个配置就自动防重，漏掉一步就白搭。
- 模板中必须显式调用
{:token()}或{:csrf_token()}（V6+），生成隐藏字段<input name="__token" value="xxx"> - 控制器里要用
$this->validateToken()或在验证规则里写['token' => 'require|token']，否则中间件或验证层根本不会校验 - 默认 token 存 session，如果用了 Redis 存 session 且没正确配置
session.save_path，会出现“token 校验失败”但日志没报错——实际是 session 写丢了
为什么 redirect 后刷新页面还会重复提交
这是典型的 POST-REDIRECT-GET 没做完整。ThinkPHP 的 redirect() 只负责跳转，不解决历史记录里的 POST 状态。
- 用户点完提交、跳到成功页，此时地址栏是 GET，但浏览器后退按钮里还存着上一个 POST 请求——点后退再点刷新，就会重发
- 真正要防的是“刷新导致重提”，得靠前端配合：跳转后用
history.replaceState()把当前页面（成功页）覆盖掉原始表单页的 history 记录 - 或者更简单：表单页加载时就执行
if (performance.navigation?.type === 1) location.reload(true)，检测到是刷新进来的，直接强制清空表单并禁用按钮
V6+ 中 Validate 类里写 token 规则为啥总不触发
token 是特殊字段，不会进默认的 data 参数，得单独拎出来处理。
立即学习“PHP免费学习笔记（深入）”；
-
$validate->check($data)时，$data里默认不含__token字段，除非你手动$data['__token'] = $this->request->param('__token') - 更稳妥的做法是不用 validate 类校验 token，改用中间件
think\middleware\Token，并在app/middleware.php里注册到对应路由 - 注意 V6.1+ 默认关闭了
token_on配置，得在config/app.php显式设'token_on' => true，否则中间件压根不运行
token 值本身是加密 + 时间戳 + 随机数拼出来的，每次生成都不同；但很多人以为“只要值对就行”，忽略了 session 生命周期和并发请求下 token 被提前消耗的问题——比如两个标签页同时打开同一表单，第二个提交必然失败，这不是 bug，是设计如此。
