ThinkPHP下表单令牌错误与解决方法分析


Posted in PHP onMay 20, 2017

本文实例讲述了ThinkPHP下表单令牌错误与解决方法。分享给大家供大家参考,具体如下:

在项目的开发过程中,添加、编辑数据时偶尔会遇到系统提示的“表单令牌错误”,一开始没怎么在意,直到今天下午QA把此问题提到bug系统了,正好时间也有空余,就追着TP3.13的源码看了下去,几分钟后,便知道原委了。

在项目中开启表单令牌,通常要在配置文件中做如下配置

// 是否开启令牌验证
'TOKEN_ON' => true,
// 令牌验证的表单隐藏字段名称
'TOKEN_NAME' => '__hash__',
//令牌哈希验证规则 默认为MD5
'TOKEN_TYPE' => 'md5',
//令牌验证出错后是否重置令牌 默认为true
'TOKEN_RESET' => true

以编辑数据为例,通常在服务端有个Model写上字段过滤规则,Action写上数据检测的代码,如

$table = D('table');
if(!$table->create()){
  exit($this->error($table->getError()));
}

这时在IDE上双击create()定位到TP框架中Model.class.php中的create方法

/**
* 创建数据对象 但不保存到数据库
* @access public
* @param mixed $data 创建数据
* @param string $type 状态
* @return mixed
*/
public function create($data='',$type='') {
  ……省略……
  // 表单令牌验证
  if(!$this->autoCheckToken($data)) {
    $this->error = L('_TOKEN_ERROR_');
    return false;
  }
  ……省略……
}

看到代码会理解当autoCheckToken方法检测失败时会报错,那么就接着跟踪此方法

// 自动表单令牌验证
// TODO ajax无刷新多次提交暂不能满足
public function autoCheckToken($data) {
  // 支持使用token(false) 关闭令牌验证
  // 如果在Action写了D方法,但没有对应的Model文件,那么$this->options为空
  if(isset($this->options['token']) && !$this->options['token']) return true;
  if(C('TOKEN_ON')){
    $name  = C('TOKEN_NAME');
    if(!isset($data[$name]) || !isset($_SESSION[$name])) { // 令牌数据无效
      return false;
    }
    // 令牌验证
    list($key,$value) = explode('_',$data[$name]);
    if($value && $_SESSION[$name][$key] === $value) { // 防止重复提交
      unset($_SESSION[$name][$key]); // 验证完成销毁session
      return true;
    }
    // 开启TOKEN重置
    if(C('TOKEN_RESET')) unset($_SESSION[$name][$key]);
    return false;
  }
  return true;
}

看了这段代码,会发现第一个判断中有$_SESSION[$name],那么这个seesion变量时从哪里过来的呢,这还得从生成令牌时说起,定位TokenBuildBehavior.class.php文件

// 创建表单令牌
private function buildToken() {
  $tokenName = C('TOKEN_NAME');
  $tokenType = C('TOKEN_TYPE');
  if(!isset($_SESSION[$tokenName])) {
    $_SESSION[$tokenName] = array();
  }
  // 标识当前页面唯一性
  $tokenKey  = md5($_SERVER['REQUEST_URI']);
  if(isset($_SESSION[$tokenName][$tokenKey])) {// 相同页面不重复生成session
    $tokenValue = $_SESSION[$tokenName][$tokenKey];
  }else{
    $tokenValue = $tokenType(microtime(TRUE));
    $_SESSION[$tokenName][$tokenKey]  = $tokenValue;
  }
  $token   = '<input type="hidden" name="'.$tokenName.'" value="'.$tokenKey.'_'.$tokenValue.'" />';
  return $token;
}

此段代码主要是在TP开启表单验证的情况下,以TOKEN_NAME和当前URI的md5为健生成令牌值,再在用户提交表单时,先验证下是否存在该session,没有则返回false,有则紧接着和表单字段TOKEN_NAME验证下,如果一致先删除此session(作用时避免下次提交出先表单令牌错误),返回ture,否则返回false。

ok,回到主题,TP下表单提交之所以会出现令牌错误,那么就只有两种可能

1. 在令牌开启的状态下,提交的表单中,没有TOKEN_NAME字段或是没有相应session(当前提交表单环境下,没有生成相应session,这个主要是在用户提交后报错用户紧接着又刷新当前页面,同时编辑页面和展示页面是在同一个方法里)

2. 有session变量,但前后值不一样

我们项目之所以出现此错误,可以看看下面配置

return array (
  'TOKEN_ON' => 'false',
  'TOKEN_NAME' => '__hash__',
  'TOKEN_TYPE' => 'md5',
  'TOKEN_RESET' => 'true',
  'DB_FIELDTYPE_CHECK' => 'true'
);

本来应该写成布尔值的false,不知道哪位大侠任性的写成字符串的false了,那么判断时当然会按开启表单令牌的逻辑来,而且项目中,添加、编辑和展示都是同一个方法,一旦验证出错,一般程序处理逻辑会返回原有的界面,那么就和上次是同一个表单了,连续提交同一个表单也就相当于重复提交,那么便会报“表单令牌错误”。

希望本文所述对大家基于ThinkPHP框架的PHP程序设计有所帮助。

PHP 相关文章推荐
php,ajax实现分页
Mar 27 PHP
PHP+MySQL 制作简单的留言本
Nov 02 PHP
Linux下手动编译安装PHP扩展的例子分享
Jul 15 PHP
Yii+upload实现AJAX上传图片的方法
Jul 13 PHP
php 的反射详解及示例代码
Aug 25 PHP
PHP基于递归实现的约瑟夫环算法示例
Aug 27 PHP
php大小写转换函数(strtolower、strtoupper)用法介绍
Nov 17 PHP
PHP 获取客户端 IP 地址的方法实例代码
Nov 11 PHP
解决php用mysql方式连接数据库出现Deprecated报错问题
Dec 25 PHP
PHP设计模式之装饰器(装饰者)模式(Decorator)入门与应用详解
Dec 13 PHP
laravel框架分组控制器和分组路由实现方法示例
Jan 25 PHP
PHP Ajax跨域问题解决方案代码实例
Aug 01 PHP
PHP那些琐碎的知识点(整理)
May 20 #PHP
PHP使用xpath解析XML的方法详解
May 20 #PHP
PHP CodeIgniter分页实例及多条件查询解决方案(推荐)
May 20 #PHP
PHP4和PHP5版本下解析XML文档的操作方法实例分析
May 20 #PHP
PHP实现对xml的增删改查操作案例分析
May 19 #PHP
PHP实现对xml进行简单的增删改查(CRUD)操作示例
May 19 #PHP
php简单处理XML数据的方法示例
May 19 #PHP
You might like
php 无法载入mysql扩展
2010/03/12 PHP
PHP OPCode缓存 APC详细介绍
2010/10/12 PHP
PHP采集利器 Snoopy 试用心得
2011/07/03 PHP
PHP获取网址的顶级域名函数代码
2012/09/24 PHP
php中的PHP_EOL换行符详细解析
2013/10/26 PHP
php实现的九九乘法口诀表简洁版
2014/07/28 PHP
PHP设计模式(五)适配器模式Adapter实例详解【结构型】
2020/05/02 PHP
JavaScript中的apply()方法和call()方法使用介绍
2012/07/25 Javascript
jQuery jcrop插件截图使用方法
2013/11/20 Javascript
用js代码改变单选框选中状态的简单实例
2013/12/18 Javascript
jquery删除指定的html标签并保留标签内文本内容的方法
2014/04/02 Javascript
javascript中一些util方法汇总
2015/06/10 Javascript
IE6-IE9使用JSON、table.innerHTML所引发的问题
2015/12/22 Javascript
Vue2 Vue-cli中使用Typescript的配置详解
2017/07/24 Javascript
ionic2懒加载配置详解
2017/09/01 Javascript
Vue 组件封装 并使用 NPM 发布的教程
2018/09/30 Javascript
Vue实现导航栏点击当前标签变色功能
2020/08/19 Javascript
教你30秒发布一个TypeScript包到NPM的方法步骤
2019/07/22 Javascript
浅谈JavaScript中的“!!”作用
2020/08/03 Javascript
介绍Python的Django框架中的静态资源管理器django-pipeline
2015/04/25 Python
Python编程之多态用法实例详解
2015/05/19 Python
Python实现获取域名所用服务器的真实IP
2015/10/25 Python
Django自定义插件实现网站登录验证码功能
2017/04/19 Python
[原创]python爬虫(入门教程、视频教程)
2018/01/08 Python
python实现将一个数组逆序输出的方法
2018/06/25 Python
python字典key不能是可以是啥类型
2020/08/04 Python
python3 googletrans超时报错问题及翻译工具优化方案 附源码
2020/12/23 Python
HTML5拖拽功能实现的拼图游戏
2018/07/31 HTML / CSS
波兰品牌鞋履在线商店:Eastend.pl
2020/01/11 全球购物
大专生自我评价
2014/01/28 职场文书
《我要的是葫芦》教学反思
2014/02/23 职场文书
小学家长评语大全
2014/04/16 职场文书
群众路线问题查摆对照检查材料
2014/10/04 职场文书
试用期自我评价怎么写
2015/03/10 职场文书
谢师宴学生答谢词
2015/09/30 职场文书
JavaScript中reduce()的用法
2022/05/11 Javascript