ThinkPHP下表单令牌错误与解决方法分析


Posted in PHP onMay 20, 2017

本文实例讲述了ThinkPHP下表单令牌错误与解决方法。分享给大家供大家参考,具体如下:

在项目的开发过程中,添加、编辑数据时偶尔会遇到系统提示的“表单令牌错误”,一开始没怎么在意,直到今天下午QA把此问题提到bug系统了,正好时间也有空余,就追着TP3.13的源码看了下去,几分钟后,便知道原委了。

在项目中开启表单令牌,通常要在配置文件中做如下配置

// 是否开启令牌验证
'TOKEN_ON' => true,
// 令牌验证的表单隐藏字段名称
'TOKEN_NAME' => '__hash__',
//令牌哈希验证规则 默认为MD5
'TOKEN_TYPE' => 'md5',
//令牌验证出错后是否重置令牌 默认为true
'TOKEN_RESET' => true

以编辑数据为例,通常在服务端有个Model写上字段过滤规则,Action写上数据检测的代码,如

$table = D('table');
if(!$table->create()){
  exit($this->error($table->getError()));
}

这时在IDE上双击create()定位到TP框架中Model.class.php中的create方法

/**
* 创建数据对象 但不保存到数据库
* @access public
* @param mixed $data 创建数据
* @param string $type 状态
* @return mixed
*/
public function create($data='',$type='') {
  ……省略……
  // 表单令牌验证
  if(!$this->autoCheckToken($data)) {
    $this->error = L('_TOKEN_ERROR_');
    return false;
  }
  ……省略……
}

看到代码会理解当autoCheckToken方法检测失败时会报错,那么就接着跟踪此方法

// 自动表单令牌验证
// TODO ajax无刷新多次提交暂不能满足
public function autoCheckToken($data) {
  // 支持使用token(false) 关闭令牌验证
  // 如果在Action写了D方法,但没有对应的Model文件,那么$this->options为空
  if(isset($this->options['token']) && !$this->options['token']) return true;
  if(C('TOKEN_ON')){
    $name  = C('TOKEN_NAME');
    if(!isset($data[$name]) || !isset($_SESSION[$name])) { // 令牌数据无效
      return false;
    }
    // 令牌验证
    list($key,$value) = explode('_',$data[$name]);
    if($value && $_SESSION[$name][$key] === $value) { // 防止重复提交
      unset($_SESSION[$name][$key]); // 验证完成销毁session
      return true;
    }
    // 开启TOKEN重置
    if(C('TOKEN_RESET')) unset($_SESSION[$name][$key]);
    return false;
  }
  return true;
}

看了这段代码,会发现第一个判断中有$_SESSION[$name],那么这个seesion变量时从哪里过来的呢,这还得从生成令牌时说起,定位TokenBuildBehavior.class.php文件

// 创建表单令牌
private function buildToken() {
  $tokenName = C('TOKEN_NAME');
  $tokenType = C('TOKEN_TYPE');
  if(!isset($_SESSION[$tokenName])) {
    $_SESSION[$tokenName] = array();
  }
  // 标识当前页面唯一性
  $tokenKey  = md5($_SERVER['REQUEST_URI']);
  if(isset($_SESSION[$tokenName][$tokenKey])) {// 相同页面不重复生成session
    $tokenValue = $_SESSION[$tokenName][$tokenKey];
  }else{
    $tokenValue = $tokenType(microtime(TRUE));
    $_SESSION[$tokenName][$tokenKey]  = $tokenValue;
  }
  $token   = '<input type="hidden" name="'.$tokenName.'" value="'.$tokenKey.'_'.$tokenValue.'" />';
  return $token;
}

此段代码主要是在TP开启表单验证的情况下,以TOKEN_NAME和当前URI的md5为健生成令牌值,再在用户提交表单时,先验证下是否存在该session,没有则返回false,有则紧接着和表单字段TOKEN_NAME验证下,如果一致先删除此session(作用时避免下次提交出先表单令牌错误),返回ture,否则返回false。

ok,回到主题,TP下表单提交之所以会出现令牌错误,那么就只有两种可能

1. 在令牌开启的状态下,提交的表单中,没有TOKEN_NAME字段或是没有相应session(当前提交表单环境下,没有生成相应session,这个主要是在用户提交后报错用户紧接着又刷新当前页面,同时编辑页面和展示页面是在同一个方法里)

2. 有session变量,但前后值不一样

我们项目之所以出现此错误,可以看看下面配置

return array (
  'TOKEN_ON' => 'false',
  'TOKEN_NAME' => '__hash__',
  'TOKEN_TYPE' => 'md5',
  'TOKEN_RESET' => 'true',
  'DB_FIELDTYPE_CHECK' => 'true'
);

本来应该写成布尔值的false,不知道哪位大侠任性的写成字符串的false了,那么判断时当然会按开启表单令牌的逻辑来,而且项目中,添加、编辑和展示都是同一个方法,一旦验证出错,一般程序处理逻辑会返回原有的界面,那么就和上次是同一个表单了,连续提交同一个表单也就相当于重复提交,那么便会报“表单令牌错误”。

希望本文所述对大家基于ThinkPHP框架的PHP程序设计有所帮助。

PHP 相关文章推荐
Smarty+QUICKFORM小小演示
Feb 25 PHP
php下保存远程图片到本地的办法
Aug 08 PHP
PHP imagecreatefrombmp 从BMP文件或URL新建一图像
Jul 16 PHP
基于PHP开发中的安全防范知识详解
Jun 06 PHP
淘宝ip地址查询类分享(利用淘宝ip库)
Jan 07 PHP
php使用curl抓取qq空间的访客信息示例
Feb 28 PHP
改写ThinkPHP的U方法使其路由下分页正常
Jul 02 PHP
浅谈php安全性需要注意的几点事项
Jul 17 PHP
PHP获取表单所有复选框的值的方法
Aug 28 PHP
PHP处理二进制数据的实现方法
Jun 13 PHP
PHP遍历目录文件的常用方法小结
Feb 03 PHP
php redis实现对200w用户的即时推送
Mar 04 PHP
PHP那些琐碎的知识点(整理)
May 20 #PHP
PHP使用xpath解析XML的方法详解
May 20 #PHP
PHP CodeIgniter分页实例及多条件查询解决方案(推荐)
May 20 #PHP
PHP4和PHP5版本下解析XML文档的操作方法实例分析
May 20 #PHP
PHP实现对xml的增删改查操作案例分析
May 19 #PHP
PHP实现对xml进行简单的增删改查(CRUD)操作示例
May 19 #PHP
php简单处理XML数据的方法示例
May 19 #PHP
You might like
php获取操作系统语言代码
2013/11/04 PHP
php in_array() 检查数组中是否存在某个值详解
2016/11/23 PHP
PHP自动补全表单的两种方法
2017/03/06 PHP
jquery必须知道的一些常用特效方法及使用示例(整理)
2013/06/24 Javascript
JQuery控制div外点击隐藏而div内点击不会隐藏的方法
2015/01/13 Javascript
JavaScript生成随机数的4种自定义函数分享
2015/02/28 Javascript
在JavaScript中操作时间之getUTCDate()方法的使用
2015/06/10 Javascript
jquery自定义表格样式
2015/11/23 Javascript
浅析JavaScript中的变量复制、参数传递和作用域链
2016/01/13 Javascript
原生js实现类似fullpage的单页/全屏滚动
2017/01/22 Javascript
基于javascript实现最简单选项卡切换
2017/02/01 Javascript
微信小程序 this和that详解及简单实例
2017/02/13 Javascript
JS实现页面打印功能
2017/03/16 Javascript
利用 spin.js 生成等待效果(js 等待效果)
2017/06/25 Javascript
前端常见跨域解决方案(全)
2017/09/19 Javascript
angular2 ng2 @input和@output理解及示例
2017/10/10 Javascript
nodejs中用npm初始化来创建package.json的实例讲解
2018/10/10 NodeJs
python字符串替换的2种方法
2014/11/30 Python
使用Python的判断语句模拟三目运算
2015/04/24 Python
Python文件操作基本流程代码实例
2017/12/11 Python
Python pandas常用函数详解
2018/02/07 Python
Python中常见的异常总结
2018/02/20 Python
python编写暴力破解zip文档程序的实例讲解
2018/04/24 Python
对Python字符串中的换行符和制表符介绍
2018/05/03 Python
python如何以表格形式打印输出的方法示例
2019/06/21 Python
详解Python的三种拷贝方式
2020/02/11 Python
python实现电子词典
2020/03/03 Python
重构Python代码的六个实例
2020/11/25 Python
社区七一党员活动方案
2014/01/25 职场文书
模范家庭事迹材料
2014/02/10 职场文书
高中家长寄语
2014/04/02 职场文书
2014党员自我评议表范文
2014/09/20 职场文书
党员廉洁自律个人总结
2015/02/13 职场文书
辩论赛新闻稿
2015/07/17 职场文书
《雪地里的小画家》教学反思
2016/02/16 职场文书
i5-10400f处理相当于i7多少水平
2022/04/19 数码科技