跨表单提交必须服务端按业务动作限频，前端仅传递标识并拦截重复触发；因submit_token和按钮禁用均无法跨页面、跨请求生命周期生效，且IP不可靠，需以action_type+用户标识（user_id/session_id/设备指纹/IP）组合限频。
跨表单提交无法靠单一表单的 submit_token 或按钮禁用解决，必须按业务动作维度做服务端限频，前端只负责传递一致标识、拦截重复触发。
为什么“跨表单”让常规防重失效
用户在页面 A 填注册表单、页面 B 填评论表单、页面 C 提交反馈，三者共用同一 IP 或设备，但传统 submit_token 是绑定单个 form 的，session 也可能隔离。若后端没把这三次提交识别为“同一用户对同一类操作（如‘发评论’）的高频行为”，就无法真正限频。
常见错误现象：429 Too Many Requests 没触发，或误封整个 IP 段；用户换页面就能绕过前端按钮禁用；刷新页面后 token 重置，限频逻辑断档。
- submit_token 只防单次表单重复提交，不跨页面、不跨请求生命周期
- 前端 JS 禁用按钮只作用于当前 DOM 实例，无法感知其他 tab 或页面的提交行为
- IP 地址在 NAT/CDN 后不可靠，不能作为跨表单的主标识
服务端必须按 action_type + 用户标识限频
核心是把“提交”抽象成带类型的业务动作，比如 comment_submit、contact_form、password_reset_request，再结合尽可能稳定的客户端标识计数。
立即学习“前端免费学习笔记（深入）”；
推荐组合标识（优先级从高到低）：
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
- 已登录用户：直接用
user_id（最准） - 未登录但有有效 session：用
session_id（需确保 session 存储稳定、不频繁重建） - 无 session：用加密后的设备指纹（如 UA+screen+fonts 的哈希），不依赖 localStorage，防止被清空重置
- 兜底用清洗后的 IP：仅当上述都不可用时启用，且必须剔除私有网段和
127.0.0.1
Redis 滑动窗口示例（Lua 脚本）：
eval "local key = KEYS[1] local count = tonumber(redis.call('INCR', key)) if count == 1 then redis.call('EXPIRE', key, 60) end return count" 1 "rate_limit:comment_submit:uid_123"
超阈值（如 10 次/分钟）时返回 429，并建议前端提示“您操作太频繁，请稍后再试”。
前端如何配合跨表单限频
前端不是旁观者，但角色很明确：传递标识、阻止误触、响应状态。不要试图自己计数或校验。
- 所有表单提交前，统一注入一个隐藏字段
<input type="hidden" name="action_type" value="comment_submit"> - 如果用户已登录，带上
user_id或auth_token（JWT 中解析）；否则尝试读取服务端下发的_device_idcookie - 监听全局
submit事件，对所有button[type="submit"]和input[type="submit"]立即设disabled = true，文字改为“提交中…” - fetch 失败或收到
429时，显式恢复按钮状态（btn.disabled = false），并聚焦错误区域——别等自动恢复 - 避免用
form.reset()，它会清掉disabled状态；改用 JS 手动清空字段 + 显式控制按钮
容易被忽略的边界点
跨表单限频最难缠的地方不在代码，而在语义和部署细节：
- 不同表单的
action_type必须由后端统一定义和校验，前端硬编码字符串极易不一致 - CDN 或反向代理没透传
X-Forwarded-For，导致所有请求 IP 都是127.0.0.1，限频全失效 - 用户开多个 tab 同时提交，前端禁用只锁住当前 tab，但服务端计数是共享的——这反而是你想要的，别去“修复”
- 测试环境用 localhost 导致 IP 清洗逻辑误剔全部流量，上线前务必验证清洗规则
真正起效的跨表单限频，永远是服务端按动作归类 + 稳定标识 + 滑动窗口的组合，前端只是不让用户狂点而已。
