ThinkPHP表单令牌验证失败的根本原因是前后端Token值不一致，主因包括Token字段缺失或错误、Session未启用或失效、多标签页重复提交、表单提交方式不当及缓存导致Token陈旧。
直接上结论：单靠前端禁用按钮或后端简单判断 $_POST 是否为空，根本防不住重复提交。必须组合使用「Token 验证 + PRG 重定向 + 缓存控制」，缺一不可。
ThinkPHP 的 {__token__/} 为什么有时失效
ThinkPHP 自带的 {__token__/} 模板标签依赖配置项 'validate_token' => true 和 Session 正常写入。但常见失效场景有三个：
- 用户点击浏览器后退，再点提交——此时页面是缓存的，
{__token__/}渲染的是旧 token，而 Session 中已清空，验证必失败 - 多标签页同时打开同一表单页——所有页面共享一个 Session token，第二个提交就会被拒绝（误伤）
- 未显式关闭调试模式时，ThinkPHP 可能跳过部分中间件，导致 token 校验逻辑没执行
解决办法不是关掉它，而是配合 HTTP 缓存头强制刷新表单页：header('Cache-Control: no-cache, no-store, must-revalidate');，注意得在控制器方法开头手动加，因为 ThinkPHP 默认发 Cache-Control: private，会覆盖你写的。
redirect() 必须用对位置，否则白做
很多人把 redirect() 放在数据插入之后、但没考虑异常分支。一旦数据库写入失败，没跳转，用户刷新页面就又 POST 一次。
立即学习“PHP免费学习笔记（深入）”；
- 正确做法：所有分支都走
redirect()或统一返回 JSON，绝不让成功/失败共用同一个响应体 - 不要 redirect 到当前 action（比如
redirect('index')），否则用户回退仍看到原表单页；应跳转到独立的成功页（如redirect('success')）或带参数的提示页（redirect('index?status=ok')） - 如果必须留在当前页（如弹窗提交），那就不能只靠 PRG，得补上前端按钮禁用 + 后端 token + 唯一业务约束（比如订单号唯一索引）
自定义 token 生成和校验要避开 session 冲突
ThinkPHP 6+ 默认用 session('think_token') 存 token，但如果你在多个表单共用一个控制器方法，或者用了 Redis 驱动 session，容易出现 key 覆盖。更稳妥的方式是绑定表单上下文：
- 生成时用业务标识拼接，比如
session('login_token', $token)和session('pay_token', $token)分开存 - 校验前先检查
input('post.token')是否存在且非空，避免空字符串比对通过 - 校验通过后立刻用
session('xxx_token', null)清除，不要用unset()，ThinkPHP 的 session 封装不认这个 - 别用
md5(uniqid())这种弱随机源，改用bin2hex(random_bytes(16))，防止时间可预测
最常被忽略的一点：数据库唯一索引不是“备选方案”，而是兜底红线。哪怕 token 和 redirect 全都生效，网络超时重试、代理重放、脚本攻击都可能绕过应用层校验。订单号、支付流水号、用户操作记录的业务主键，该加 UNIQUE 就必须加。
