PHP MVC框架用户管理：删除请求处理方式咨询

一、先修正你的表单错误 #

你当前的表单代码存在一个明显问题：<input>标签重复设置了name属性（name="_method"和name="delete-submit"），浏览器只会识别最后一个属性值，导致你无法正确获取提交标识或请求方法的模拟值。修正后的表单代码如下：

<form action="users/delete/<?=$user->id?>" method="post">
    <!-- 用_method字段模拟RESTful的DELETE请求，同时保留提交标识 -->
    <input type="hidden" name="_method" value="DELETE">
    <input type="hidden" name="delete-submit" value="1">
    <button type="submit" class="btn bg-red-500 hover:bg-red-700 text-white font-bold py-2 px-4 rounded">Delete</button>
</form>

二、请求处理的正确原则：必须通过POST（或模拟DELETE）处理，绝对不能直接用URL/GET请求 #

直接通过URL（GET请求）处理删除操作是严重的安全漏洞：

• GET请求会被浏览器缓存、可被存入书签，用户误点书签或刷新页面就会重复执行删除；
• 极易遭CSRF攻击，恶意网站可构造诱导链接，用户点击后就会触发删除操作。

你的现有处理逻辑方向是对的，但需要补充几个关键细节：

1. 确保从路由中正确获取用户ID（而非代码中未定义的$value）；
2. 限制仅处理POST请求，拒绝非法请求方式；
3. 执行跳转后必须终止脚本，避免后续代码执行。

修正后的控制器处理代码示例：

// 假设路由已将users/delete/{id}映射到该方法，且$id能正确传递
public function delete($id) {
    // 仅接受POST请求
    if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
        header("HTTP/1.1 405 Method Not Allowed");
        exit("非法请求方式");
    }

    // 验证提交标识
    if (!empty($_POST['delete-submit'])) {
        $userModel = $this->model("user");
        $userModel->deleteUser($id);
        // 跳转回用户列表页，注意路由常量的正确性
        header("Location: " . ROUTE . "home/users");
        exit; // 跳转后必须终止脚本
    }

    // 非法提交时返回错误
    header("HTTP/1.1 400 Bad Request");
    exit("无效的删除请求");
}

三、额外优化建议 #

• 添加CSRF令牌：在表单中增加隐藏的CSRF令牌字段，控制器验证令牌有效性，彻底防范跨站请求伪造；
• 实现RESTful风格处理：让框架支持通过_method字段模拟PUT/DELETE请求，使路由规则更清晰（例如DELETE /users/{id}）；
• 增加删除确认：在按钮点击时用JS弹出确认框，减少用户误操作的概率。

内容的提问来源于stack exchange，提问作者Sdev