ThinkPHP下表单令牌错误与解决方法分析


Posted in PHP onMay 20, 2017

本文实例讲述了ThinkPHP下表单令牌错误与解决方法。分享给大家供大家参考,具体如下:

在项目的开发过程中,添加、编辑数据时偶尔会遇到系统提示的“表单令牌错误”,一开始没怎么在意,直到今天下午QA把此问题提到bug系统了,正好时间也有空余,就追着TP3.13的源码看了下去,几分钟后,便知道原委了。

在项目中开启表单令牌,通常要在配置文件中做如下配置

// 是否开启令牌验证
'TOKEN_ON' => true,
// 令牌验证的表单隐藏字段名称
'TOKEN_NAME' => '__hash__',
//令牌哈希验证规则 默认为MD5
'TOKEN_TYPE' => 'md5',
//令牌验证出错后是否重置令牌 默认为true
'TOKEN_RESET' => true

以编辑数据为例,通常在服务端有个Model写上字段过滤规则,Action写上数据检测的代码,如

$table = D('table');
if(!$table->create()){
  exit($this->error($table->getError()));
}

这时在IDE上双击create()定位到TP框架中Model.class.php中的create方法

/**
* 创建数据对象 但不保存到数据库
* @access public
* @param mixed $data 创建数据
* @param string $type 状态
* @return mixed
*/
public function create($data='',$type='') {
  ……省略……
  // 表单令牌验证
  if(!$this->autoCheckToken($data)) {
    $this->error = L('_TOKEN_ERROR_');
    return false;
  }
  ……省略……
}

看到代码会理解当autoCheckToken方法检测失败时会报错,那么就接着跟踪此方法

// 自动表单令牌验证
// TODO ajax无刷新多次提交暂不能满足
public function autoCheckToken($data) {
  // 支持使用token(false) 关闭令牌验证
  // 如果在Action写了D方法,但没有对应的Model文件,那么$this->options为空
  if(isset($this->options['token']) && !$this->options['token']) return true;
  if(C('TOKEN_ON')){
    $name  = C('TOKEN_NAME');
    if(!isset($data[$name]) || !isset($_SESSION[$name])) { // 令牌数据无效
      return false;
    }
    // 令牌验证
    list($key,$value) = explode('_',$data[$name]);
    if($value && $_SESSION[$name][$key] === $value) { // 防止重复提交
      unset($_SESSION[$name][$key]); // 验证完成销毁session
      return true;
    }
    // 开启TOKEN重置
    if(C('TOKEN_RESET')) unset($_SESSION[$name][$key]);
    return false;
  }
  return true;
}

看了这段代码,会发现第一个判断中有$_SESSION[$name],那么这个seesion变量时从哪里过来的呢,这还得从生成令牌时说起,定位TokenBuildBehavior.class.php文件

// 创建表单令牌
private function buildToken() {
  $tokenName = C('TOKEN_NAME');
  $tokenType = C('TOKEN_TYPE');
  if(!isset($_SESSION[$tokenName])) {
    $_SESSION[$tokenName] = array();
  }
  // 标识当前页面唯一性
  $tokenKey  = md5($_SERVER['REQUEST_URI']);
  if(isset($_SESSION[$tokenName][$tokenKey])) {// 相同页面不重复生成session
    $tokenValue = $_SESSION[$tokenName][$tokenKey];
  }else{
    $tokenValue = $tokenType(microtime(TRUE));
    $_SESSION[$tokenName][$tokenKey]  = $tokenValue;
  }
  $token   = '<input type="hidden" name="'.$tokenName.'" value="'.$tokenKey.'_'.$tokenValue.'" />';
  return $token;
}

此段代码主要是在TP开启表单验证的情况下,以TOKEN_NAME和当前URI的md5为健生成令牌值,再在用户提交表单时,先验证下是否存在该session,没有则返回false,有则紧接着和表单字段TOKEN_NAME验证下,如果一致先删除此session(作用时避免下次提交出先表单令牌错误),返回ture,否则返回false。

ok,回到主题,TP下表单提交之所以会出现令牌错误,那么就只有两种可能

1. 在令牌开启的状态下,提交的表单中,没有TOKEN_NAME字段或是没有相应session(当前提交表单环境下,没有生成相应session,这个主要是在用户提交后报错用户紧接着又刷新当前页面,同时编辑页面和展示页面是在同一个方法里)

2. 有session变量,但前后值不一样

我们项目之所以出现此错误,可以看看下面配置

return array (
  'TOKEN_ON' => 'false',
  'TOKEN_NAME' => '__hash__',
  'TOKEN_TYPE' => 'md5',
  'TOKEN_RESET' => 'true',
  'DB_FIELDTYPE_CHECK' => 'true'
);

本来应该写成布尔值的false,不知道哪位大侠任性的写成字符串的false了,那么判断时当然会按开启表单令牌的逻辑来,而且项目中,添加、编辑和展示都是同一个方法,一旦验证出错,一般程序处理逻辑会返回原有的界面,那么就和上次是同一个表单了,连续提交同一个表单也就相当于重复提交,那么便会报“表单令牌错误”。

希望本文所述对大家基于ThinkPHP框架的PHP程序设计有所帮助。

PHP 相关文章推荐
php仿discuz分页效果代码
Oct 02 PHP
深入php list()函数的详解
Jun 05 PHP
php快递单号查询接口使用示例
May 05 PHP
初识php MVC
Sep 10 PHP
php实现的支持imagemagick及gd库两种处理的缩略图生成类
Sep 23 PHP
学习php设计模式 php实现装饰器模式(decorator)
Dec 07 PHP
浅谈php中curl、fsockopen的应用
Dec 10 PHP
laravel如何开启跨域功能示例详解
Aug 31 PHP
PHP小白必须要知道的php基础知识(超实用)
Oct 10 PHP
PHP实现会员账号单唯一登录的方法分析
Mar 07 PHP
PHP实现随机发放扑克牌
Apr 21 PHP
php使用event扩展的io复用测试的示例
Oct 20 PHP
PHP那些琐碎的知识点(整理)
May 20 #PHP
PHP使用xpath解析XML的方法详解
May 20 #PHP
PHP CodeIgniter分页实例及多条件查询解决方案(推荐)
May 20 #PHP
PHP4和PHP5版本下解析XML文档的操作方法实例分析
May 20 #PHP
PHP实现对xml的增删改查操作案例分析
May 19 #PHP
PHP实现对xml进行简单的增删改查(CRUD)操作示例
May 19 #PHP
php简单处理XML数据的方法示例
May 19 #PHP
You might like
PHP函数microtime()用法与说明
2013/12/04 PHP
php写的AES加密解密类分享
2014/06/20 PHP
php邮箱地址正则表达式验证
2015/11/13 PHP
php编程实现简单的网页版计算器功能示例
2017/04/26 PHP
js字符串转成JSON
2013/11/07 Javascript
JS实现点击事件统计的简单实例
2016/07/10 Javascript
jQuery源码解读之extend()与工具方法、实例方法详解
2017/03/30 jQuery
jQuery Easyui Treegrid实现显示checkbox功能
2017/08/08 jQuery
基于Node.js模板引擎教程-jade速学与实战1
2017/09/17 Javascript
js拖动滑块和点击水波纹效果实例代码
2018/10/16 Javascript
react脚手架如何配置less和ant按需加载的方法步骤
2018/11/28 Javascript
javascript事件监听与事件委托实例详解
2019/08/16 Javascript
微信小程序表单验证插件WxValidate的二次封装功能(终极版)
2019/09/03 Javascript
基于JavaScript 实现拖放功能
2019/09/12 Javascript
[40:03]DOTA2上海特级锦标赛主赛事日 - 1 败者组第一轮#1EHOME VS Archon
2016/03/02 DOTA
Python中除法使用的注意事项
2014/08/21 Python
详细介绍Python函数中的默认参数
2015/03/30 Python
Python数组遍历的简单实现方法小结
2016/04/27 Python
Python使用pymysql从MySQL数据库中读出数据的方法
2018/07/25 Python
OpenCV+Python识别车牌和字符分割的实现
2019/01/31 Python
Django框架之登录后自定义跳转页面的实现方法
2019/07/18 Python
python selenium登录豆瓣网过程解析
2019/08/10 Python
python numpy之np.random的随机数函数使用介绍
2019/10/06 Python
python 初始化一个定长的数组实例
2019/12/02 Python
Pytorch框架实现mnist手写库识别(与tensorflow对比)
2020/07/20 Python
canvas绘制文本内容自动换行的实现代码
2019/01/14 HTML / CSS
使用jquery实现HTML5响应式导航菜单教程
2014/04/02 HTML / CSS
雅诗兰黛美国官网:Estee Lauder美国
2016/07/21 全球购物
中文专业毕业生自荐信
2013/10/28 职场文书
优秀党员主要事迹
2014/01/19 职场文书
毕业自我评价
2014/02/05 职场文书
幼儿园师德演讲稿
2014/05/06 职场文书
大学生就业推荐表自我评价
2015/03/02 职场文书
2015年度优秀员工自荐书
2015/03/06 职场文书
毕业论文致谢格式模板
2015/05/14 职场文书
Golang中异常处理机制详解
2021/06/08 Golang