个人博客 > 学无止境 > PHP > thinkphp下表单令牌错误与解决方法分析

thinkphp下表单令牌错误与解决方法分析

本文介绍ThinkPHP下表单令牌错误与解决方法。

在项目的开发过程中,添加、编辑数据时偶然会遇到系统提示的“表单令牌错误”,一开端没怎样在意,直到今天把此问题提到bug系统了,正好时间也有空余,就追着TP3.13的源码看了下去,几分钟后,便晓得原委了。

在项目中开启表单令牌,通常要在配置文件中做如下配置

// 能否开启令牌考证
'TOKEN_ON' => true,
// 令牌考证的表单躲藏字段称号
'TOKEN_NAME' => '__hash__',
//令牌哈希考证规则 默许为
MD5'TOKEN_TYPE' => 'md5',
//令牌考证出错后能否重置令牌 默许为true'
TOKEN_RESET' => true

以编辑数据为例,通常在效劳端有个Model写上字段过滤规则,Action写上数据检测的代码,如

$table = D('table');
if(!$table->create()){
  exit($this->error($table->getError()));
}

这时在IDE上双击create()定位到TP框架中Model.class.php中的create办法

  public function create($data='',$type='') {
    ……省略……  
    // 表单令牌考证  
    if(!$this->autoCheckToken($data)) {
        $this->error = L('_TOKEN_ERROR_');
         return false;  
    }  
    ……省略……
   }

看到代码会了解当autoCheckToken办法检测失败时会报错,那么就接着跟踪此办法

// 自动表单令牌考证
// TODO ajax无刷新屡次提交暂不能满足public 
function autoCheckToken($data) {  
// 支持运用token(false) 关闭令牌考证  
// 假如在Action写了D办法,但没有对应的Model文件,那么$this->options为空  
if(isset($this->options['token']) && !$this->options['token']) return true;
  if(C('TOKEN_ON')){
    $name  = C('TOKEN_NAME');
   if(!isset($data[$name]) || !isset($_SESSION[$name])) {
    // 令牌数据无效      
    return false;    
   }    
   // 令牌考证    
   list($key,$value) = explode('_',$data[$name]);
   if($value && $_SESSION[$name][$key] === $value) {
    // 避免反复提交      
    unset($_SESSION[$name][$key]);
    // 考证完成销毁session      
    return true;    
   }    
   // 开启TOKEN重置    
   if(C('TOKEN_RESET')) unset($_SESSION[$name][$key]);
    return false;  
   }  
   return true;
  }

看了这段代码,会发现第一个判别中有$_SESSION[$name],那么这个seesion变量时从哪里过来的呢,这还得从生成令牌时说起,定位TokenBuildBehavior.class.php文件

// 创立表单令牌private function buildToken() {
    $tokenName = C('TOKEN_NAME');
    $tokenType = C('TOKEN_TYPE');  
    if(!isset($_SESSION[$tokenName])) {    
             $_SESSION[$tokenName] = array();  
    }  
    // 标识当前页面独一性  
   $tokenKey  = md5($_SERVER['REQUEST_URI']);  
   if(isset($_SESSION[$tokenName][$tokenKey])) {
                         // 相同页面不反复生成session    
     $tokenValue = $_SESSION[$tokenName][$tokenKey];
   }else{    
     $tokenValue = $tokenType(microtime(TRUE));    
     $_SESSION[$tokenName][$tokenKey]  = $tokenValue;  
   }  
   $token = '';  
   return $token;
 }

此段代码主要是在TP开启表单考证的状况下,以TOKEN_NAME和当前URI的md5为健生成令牌值,再在用户提交表单时,先考证下能否存在该session,没有则返回false,有则紧接着和表单字段TOKEN_NAME考证下,假如分歧先删除此session(作用时防止下次提交出先表单令牌错误),返回ture,否则返回false。

ok,回到主题,TP下表单提交之所以会呈现令牌错误,那么就只要两种可能

1. 在令牌开启的状态下,提交的表单中,没有TOKEN_NAME字段或是没有相应session(当前提交表单环境下,没有生成相应session,这个主要是在用户提交后报错用户紧接着又刷新当前页面,同时编辑页面和展现页面是在同一个办法里)

2. 有session变量,但前后值不一样

我们项目之所以呈现此错误,能够看看下面配置

return array (  'TOKEN_ON' => 'false',  'TOKEN_NAME' => '__hash__',  'TOKEN_TYPE' => 'md5',  'TOKEN_RESET' => 'true',  'DB_FIELDTYPE_CHECK' => 'true');

原本应该写成布尔值的false,却写成字符串的false了,那么判别时当然会按开启表单令牌的逻辑来,而且项目中,添加、编辑和展现都是同一个办法,一旦考证出错,普通程序处置逻辑会返回原有的界面,那么就和上次是同一个表单了,连续提交同一个表单也就相当于反复提交,那么便会报“表单令牌错误”。

本文出自:琅枫个人博客。如需转载请注明出处!

本文出处:"https://www.phpfeng.cn/learn/php/119.html"

如果您觉得文章对你有帮助,可以进行打赏。
打赏多少,您高兴就行,谢谢您对琅枫博客的支持! ~(@^_^@)~

微信打赏

琅枫博客微信号

支付宝打赏

琅枫博客个人支付宝
本文关键词: thinkphp 令牌 表单 错误



你想在庞大的互联网上留下一丝足迹?

我不想成为一个庸俗的人。十年百年后,当我们死去,质疑我们的人同样死去,后人看到的是裹足不前、原地打转的你,还是一直奔跑、走到远方的我?

点我了解如何搭建个人博客?