Webman需手动实现Token防重闭环，因无内置中间件；token()失效主因是Session未启用或配置错误；校验后必须销毁Token且POST后强制302重定向。
Webman 没有内置的全局 Token 防重中间件，必须手动实现「生成 → 嵌入 → 校验 → 销毁」闭环，否则表单重复提交漏洞直接暴露。
Webman 中 token() 函数不生效的常见原因
Webman 默认不自动启动 Session，token() 函数依赖 $_SESSION 存储值，未调用 session_start() 或 Session 配置错误时，该函数始终返回空字符串或固定值。
- 检查入口文件
start.php是否已显式调用session_start()（推荐在Worker::onWorkerStart或路由中间件中初始化） - 确认
php.ini中session.auto_start = 0（Webman 不兼容自动开启） - 若使用 Redis 存储 Session，需确保
session.save_handler = redis且session.save_path指向可用地址 - 不要在生成 token 前调用
session_write_close()，否则写入失败但无报错
手动实现一次性 Token 校验流程
Webman 是 Swoole 驱动的常驻内存框架，Session 处理比传统 PHP 更敏感，不能照搬 Laravel/ThinkPHP 的写法。核心是：Token 必须绑定当前请求会话、校验后立即销毁、失败也必须清空。
- 表单页控制器中生成并分配：
$_SESSION['form_token'] = bin2hex(random_bytes(32)); $this->assign('form_token', $_SESSION['form_token']); - 模板中嵌入隐藏字段：
<input type="hidden" name="token" value="<?= $form_token ?>"> - 提交接口开头强制校验：
if (!isset($_POST['token']) || !hash_equals($_SESSION['form_token'] ?? '', $_POST['token'])) { exit('Invalid or expired token'); } - 校验通过后第一行必须销毁：
unset($_SESSION['form_token']);（不是赋null，也不是留空） - 若校验失败，也要执行
unset($_SESSION['form_token']);，防止用户刷新页面后旧 Token 被重用
POST 后必须 redirect，否则 F5 刷新仍会重发
Webman 返回响应后不会自动清空浏览器缓存的 POST 数据，用户按 F5 刷新成功页，浏览器会原样重发上一次 POST 请求——此时 Session 中 Token 已销毁，后端直接报错或空白页，而非友好提示。
立即学习“PHP免费学习笔记（深入）”；
- 业务逻辑执行成功后，**必须**返回 302 重定向：
return response()->redirect('/success')->withStatus(302); - 避免在控制器里直接
return view(...)渲染结果页 - 前端可辅助检测刷新行为：
if (performance.navigation?.type === 1) { document.querySelector('form').reset(); }，但不能替代后端 redirect - 注意：Webman 的
response()->redirect()默认不带Location头，需确认底层 Response 对象已正确设置
最易被忽略的是「校验失败也必须销毁 Token」和「重定向响应头是否真正发出」——这两个点一旦遗漏，整个防重机制形同虚设，攻击者只需刷新页面就能绕过。
