不能。ThinkPHP的Lock类仅为进程级互斥锁，无法防用户重放；业务防重需结合用户ID、操作类型、业务单号构建带超时与状态校验的上下文锁，推荐用Cache::remember实现结构化轻量锁。
ThinkPHP 的 Lock 类能直接用于业务操作防重放吗？
不能。ThinkPHP 自带的 Lock 类（如 FileLock、RedisLock）本质是进程/服务级互斥锁，只保证「同一资源不被并发修改」，但对「用户重复提交」「跨会话重放」「绕过前端限制的请求」完全无效——它不绑定用户身份、不校验操作上下文、不记录操作生命周期。
真正要防敏感操作（如支付扣款、密码重置、删除主数据），必须自己实现「带上下文的业务锁」，核心是：锁粒度必须精确到 用户ID + 操作类型 + 业务单号（或关键参数哈希），且带超时和状态校验。
- 别用
Lock::single('pay_'.$order_id)这种写法——攻击者换一个$order_id就绕过了 - 必须组合用户凭证：
Lock::single('pay_'.$uid.'_'.$order_id) - 锁有效期建议 ≤ 60 秒，太长影响用户体验，太短可能覆盖不了网络延迟场景
- Redis 锁优先于文件锁：高并发下文件锁有 IO 瓶颈，且多机部署时文件锁不共享
如何用 Cache::remember 实现带校验的轻量级操作锁？
Cache::remember 不只是缓存，配合原子写入和结构化值，可当「自描述业务锁」用。关键是把锁值设计成数组，包含时间戳、操作参数签名、校验状态，而非简单布尔值。
比如用户点击「提交提现申请」，后端应：
立即学习“PHP免费学习笔记（深入）”；
- 生成唯一业务指纹：
$fingerprint = md5($uid . '_withdraw_' . $bank_card_no . '_' . $amount) - 用
Cache::remember('op_lock_'.$fingerprint, 30, function() use ($fingerprint, $uid) { ... })尝试写入 - 回调函数内先查数据库确认该用户当前无未完成提现，再写入锁值：
['ts' => time(), 'uid' => $uid, 'status' => 'pending'] - 若缓存已存在，取出并检查
['status'] === 'pending'且time() - $cached['ts'] ，才拒绝请求
这样既避免 DB 频繁查询，又保留业务语义——锁不是“占着就完事”，而是“这个操作正在发生，且还没最终落库”。
为什么不能只靠数据库唯一索引做防重？
唯一索引（如给 user_id+order_id 加联合唯一）只能拦住「完全相同的二次插入」，但敏感操作往往需要更精细控制：
- 同一用户对不同订单重复提交（索引字段不同，不冲突）
- 同一订单被不同用户尝试操作（索引不包含操作者，拦不住）
- 事务未提交前索引不生效，高并发下仍可能双写（尤其 MyISAM 或非严格事务隔离）
- 错误信息返回
SQLSTATE[23000]: Integrity constraint violation会暴露表结构，属安全风险
所以唯一索引只能作为兜底（防止最终数据异常），绝不能作为第一道防线。业务层必须在进入 DB 前就识别并拦截重复意图。
Token 校验和操作锁必须串联使用
前端传来的 token（如表单隐藏域的 __token）解决的是「是否来自合法页面」，而操作锁解决的是「同一用户是否在短时间内重复触发」——两者维度不同，缺一不可。
典型漏掉的坑：
- 只验证
__token有效，就直接执行扣款（没锁）→ 攻击者抓包重放即可 - 只加操作锁，但没校验
__token→ XSS 或 CSRF 可伪造请求绕过锁（因为锁基于用户 ID，而伪造请求也能带上合法 session） -
__token生效后不立即失效（ThinkPHP 默认单次有效，但若手动调用Token::build()多次，可能生成多个有效 token）→ 锁没覆盖所有路径
正确顺序是：验 __token → 查用户权限 → 计算业务指纹 → 尝试获取操作锁 → 锁成功才进事务。任何一步失败都立刻终止，不抛 DB 异常给前端。
最易被忽略的一点：锁的释放不能依赖「操作成功后手动删缓存」。必须设自动过期（TTL），否则异常中断导致锁残留，用户会被永久阻塞。业务逻辑里只管「写锁」和「检查锁」，别管「删锁」。
