Token防爬核心在于服务端绑定上下文并联动行为校验：须绑定会话ID、IP+UA哈希、时效性；JS动态获取、一次一用；后端校验需检查重放、IP匹配、AJAX头、Referer，并结合页面交互信号评分。
PHP用Token验证防爬虫接口，核心不是“加个Token就安全”，而是把Token作为行为可信度的校验环节之一，配合上下文判断。单纯靠客户端传来的Token，爬虫照样能复用、盗用、伪造。真正起作用的是服务端如何生成、绑定、校验和淘汰Token，并让它和真实用户行为挂钩。
Token必须带上下文绑定
不能只发一个静态或可预测的字符串。每次生成Token时，至少要绑定三项：
- 用户会话标识（如session_id或登录态中的uid）
- 请求来源特征（如IP前两段 + User-Agent摘要哈希）
- 时效性约束（建议15–30分钟过期，且一次性或短时可重放）
例如用JWT生成时，在payload中加入"ip_hash"和"ua_fingerprint"字段；自定义Token则存入Redis，key为token:{hash}，value为JSON结构，含绑定信息和创建时间。
前端调用必须走JS触发流程
避免Token在HTML源码里明文暴露，也不允许curl直接GET接口。正确做法是：
立即学习“PHP免费学习笔记（深入）”；
- 页面加载后由JS发起一次轻量API请求（如
/api/token/issue），后端校验当前session、Referer、Cookie有效性后才发放Token - 该Token仅用于接下来的1–2次业务请求（如提交表单、拉取敏感数据），用完即废
- 前端按钮点击时，先执行
fetch()获取Token，再带着它发主请求，中间无手动干预环节
这样爬虫若跳过JS逻辑直连业务接口，就会因缺少有效Token被拦截。
后端校验要拒绝“干净但可疑”的请求
收到带Token的请求后，不能只验证签名和过期时间。还需检查：
- Token是否已在Redis中标记为已使用（防重放）
- 请求IP与Token绑定IP是否匹配（允许小范围浮动，如同一C段）
- 请求头中
X-Requested-With: XMLHttpRequest是否存在（非AJAX请求直接拒绝） - Referer是否为空或来自非本站域名（尤其对POST/PUT接口）
任一不满足，返回403 Forbidden并记录日志。不要返回401，避免暴露鉴权机制细节。
配合设备/行为信号提升可信度
Token只是其中一环。建议在发放Token前，让前端上报基础行为信号：
- 页面停留时长（
performance.timing.domContentLoadedEventEnd - performance.timing.fetchStart） - 是否有鼠标移动或点击事件（简单JS埋点）
- 是否执行了特定计算（如轻量WebAssembly校验或canvas指纹采样）
后端将这些信号纳入Token签发评分——低分请求即使有合法session，也只给降级Token（如仅能查公开数据）。这能有效过滤无交互的自动化脚本。
