ThinkPHP无开箱即用的动态Token防爬机制，需自行扩展：前端JS生成含行为特征的Token，后端校验时间、延迟、上下文等多因子，并与原生CSRF Token协同使用。
ThinkPHP 本身不提供开箱即用的“动态 Token 防爬虫”机制，它内置的 token() 是为 CSRF 防护设计的——会话绑定、一次有效、带时间扰动。但防爬虫所需的动态 Token（如签名 token、时效性请求凭证、行为绑定 token）需你自行扩展实现，核心思路是：前端 JS 动态生成 + 后端校验逻辑解耦 + 多因子绑定。
下面分三块说清楚怎么做、为什么这么设、哪些细节容易踩坑：
一、前端 JS 生成带行为特征的动态 Token
不是简单拼个时间戳，而是让爬虫难以复现： - 在页面加载时执行 JS，读取 `Date.now()`、`Math.random()`、`screen.width`、`navigator.platform` 等真实浏览器属性 - 加入轻量混淆计算（比如异或+取模+base64 编码），避免被静态提取 - 将结果写入隐藏字段（如 ``）或附在请求头（如 `X-Dyn-Token: ...`） - 关键：必须配合页面加载时间打点。例如用 `performance.timing.loadEventEnd` 计算“页面可见后操作延迟”，小于 800ms 的直接拒收示例片段（放在表单页底部）：
```html <script> const ts = Date.now(); const loadDelay = performance.timing.loadEventEnd - performance.timing.navigationStart || 0; const dynToken = btoa(ts + '_' + loadDelay + '_' + Math.random().toString(36).substr(2, 5)); document.querySelector('input[name="dyn_token"]').value = dynToken; </script> ```二、后端校验不能只验字符串，要验上下文
ThinkPHP 控制器中接收并验证，重点不是“对不对”，而是“合不合理”： - 解析 `dyn_token`，拆出时间戳、延迟值、随机段 - 检查时间戳是否超时（建议 ≤ 120 秒），防止重放 - 校验 `loadDelay` 是否在合理区间（如 500ms–10s），太短大概率是脚本 - 结合当前请求的 `Cookie`（如 `thinkphp_token` 是否存在）、`Referer`（是否来自本站）、`X-Requested-With`（是否缺失）做加权评分 - 可选：将 IP + User-Agent 哈希作为临时 key 存 Redis，15 分钟内同一组合提交超 3 次则触发限流控制器中参考写法：
立即学习“PHP免费学习笔记（深入）”；
```php $token = $this->request->post('dyn_token'); if (!$token) { $this->error('缺少动态凭证'); } list($ts, $delay, $rand) = explode('_', base64_decode($token), 3); if (abs(time() - (int)$ts) > 120) { $this->error('动态凭证已过期'); } if ((int)$delay request->ip()}", 'security'); $this->error('操作过快，请人工确认'); } ```三、和 ThinkPHP 原生 Token 协同，别冲突
动态 Token 是补充，不是替代 CSRF Token： - 表单里仍要保留 `{:token()}`（用于防 CSRF），`dyn_token` 是额外字段 - 不要用同一个字段名（如都叫 `__token`），否则中间件会误判或覆盖 - 若走 AJAX 提交，建议把动态 token 获取封装成独立接口（如 `/api/dyn-token`），每次提交前先 fetch 一次，避免页面缓存导致 token 失效 - 切忌在 JS 中缓存 `dyn_token` 值复用——它本就是单次、有时效、带行为指纹的关键提醒：
- 不要依赖 UA 或 IP 单一维度做判断，它们都易伪造 - 不要硬编码密钥或算法到前端，JS 可被逆向；混淆只是增加成本，不是加密 - 所有校验失败应统一返回 400 或 422，避免暴露防御路径（比如不要返回 “loadDelay 太小” 这类提示） - 动态 Token 的有效期、阈值、评分规则，建议抽成配置项（如 `app/extra/antispider.php`），方便灰度调整不复杂但容易忽略。
