如何防止用户直接访问表单提交确认页，仅允许通过表单跳转进入？

方法一：用Session会话验证（最可靠） #

核心思路是给合法的表单提交行为打个专属“标记”，只有携带该标记的请求才能进入确认页：

1. 在表单处理页（处理邮件发送的PHP文件）中，完成邮件发送后设置验证标记，再执行重定向：

session_start();
// 先执行邮件发送逻辑，确保发送成功后再设置标记
$mail_sent = 你的邮件发送函数(); // 替换成实际的邮件发送代码
if ($mail_sent) {
    $_SESSION['form_submitted'] = true;
    header('Location: /sentconfirmation.php');
    exit;
} else {
    // 发送失败时跳回表单页并提示错误
    header('Location: /your-form-page.php?error=1');
    exit;
}

2. 在sentconfirmation.php开头检查Session标记，无合法标记则直接跳回表单页：

session_start();
if (!isset($_SESSION['form_submitted']) || $_SESSION['form_submitted'] !== true) {
    header('Location: /your-form-page.php');
    exit;
}
// 显示感谢信息
echo "<h1>感谢您提交表单</h1>";
// 销毁标记，避免用户刷新页面重复访问
unset($_SESSION['form_submitted']);

方法二：检查HTTP Referer（辅助方案，不单独使用） #

通过判断请求的来源地址，确认是否来自你的表单处理页，但该方法有局限性——浏览器可能禁用Referer或被篡改，仅能作为Session验证的补充：

// 在sentconfirmation.php开头添加
$allowed_host = 'yourwebsite.com'; // 替换为你的域名
if (!isset($_SERVER['HTTP_REFERER']) || strpos($_SERVER['HTTP_REFERER'], $allowed_host) === false) {
    header('Location: /your-form-page.php');
    exit;
}

方法三：取消单独确认页，直接在处理页显示结果（最简单） #

如果不需要独立的确认页URL，直接在表单处理页完成邮件发送后输出感谢内容，从根源上避免用户直接访问的问题：

// 处理邮件发送逻辑
$mail_sent = 你的邮件发送函数();
if ($mail_sent) {
    echo "<!DOCTYPE html>
          <html>
          <head><title>提交成功</title></head>
          <body><h1>感谢您提交表单</h1></body>
          </html>";
} else {
    echo "<p>提交失败，请返回表单重试</p>";
}

关于“隐藏确认页URL”的说明 #

浏览器地址栏的URL无法真正隐藏，用户访问页面时必然可见。但方法三直接在处理页显示结果，不存在单独的确认页URL；若坚持用重定向方式，Session验证是最可靠的防直接访问方案。

内容的提问来源于stack exchange，提问作者Q-Tip