Laravel中如何通过非客户端方式防止按钮重复提交？

你说得太对了——客户端的防重复提交（比如你写的禁用按钮）确实很容易被绕过，比如用户直接通过浏览器控制台重新启用按钮，或者用工具发送重复请求。Laravel提供了几种完全依赖服务端的方案，从简单到进阶都有，我给你详细讲讲：

1. 利用Laravel默认CSRF令牌做扩展 #

Laravel自带的CSRF保护可以直接用来做基础防重复提交，只要把CSRF令牌设置为一次性使用就行。

实现步骤： #

• 表单里正常包含CSRF字段：

  <form method="POST" action="/submit">
      @csrf
      <!-- 其他表单字段 -->
      <button type="submit">Submit</button>
  </form>
  

• 在处理请求的控制器方法中，完成业务逻辑后销毁当前会话的CSRF令牌并生成新的：

  public function submit(Request $request)
  {
      // 先验证请求数据
      $validated = $request->validate([
          // 你的验证规则
      ]);
  
      // 处理核心业务逻辑
      // ...
  
      // 销毁旧令牌，强制生成新令牌
      $request->session()->regenerateToken();
  
      // 重定向或返回响应
      return redirect()->back()->with('success', '提交成功！');
  }
  

这样一来，用户重复提交时旧令牌已经失效，会直接返回419页面过期错误，从根源上阻止重复请求。

2. 自定义一次性请求令牌 #

如果需要针对特定表单或操作做更精细的控制，可以自己生成专属的一次性令牌：

实现步骤： #

• 渲染表单时，生成唯一令牌并存入会话：

  use Illuminate\Support\Str;
  
  public function showForm()
  {
      $submitToken = Str::random(40);
      session(['submit_token' => $submitToken]);
      return view('form', compact('submitToken'));
  }
  

• 在Blade表单中添加隐藏的令牌字段：

  <form method="POST" action="/submit">
      @csrf
      <input type="hidden" name="submit_token" value="{{ $submitToken }}">
      <!-- 其他表单字段 -->
      <button type="submit">Submit</button>
  </form>
  

• 处理请求时验证并销毁令牌：

  public function submit(Request $request)
  {
      // 先验证令牌存在
      $request->validate([
          'submit_token' => 'required',
      ]);
  
      // 匹配令牌后立即从会话中移除
      if ($request->session()->pull('submit_token') !== $request->input('submit_token')) {
          abort(403, '禁止重复提交请求');
      }
  
      // 处理业务逻辑
      // ...
  
      return redirect()->back()->with('success', '提交成功！');
  }
  

这个方法的优势是可以给不同页面、不同操作分配独立的令牌，灵活性更高。

3. 幂等性键（适配API/异步场景） #

如果是API接口或者异步提交的场景，推荐用**幂等性键（Idempotency Key）**方案，确保同一请求只会被处理一次：

实现步骤： #

• 前端生成唯一的幂等键（比如UUID），请求时通过Header或表单字段发送：

  // 生成UUID（原生方法或第三方库都可以）
  const idempotencyKey = crypto.randomUUID();
  // 发送请求时带上键
  fetch('/api/submit', {
      method: 'POST',
      headers: {
          'Idempotency-Key': idempotencyKey,
          'X-CSRF-TOKEN': document.querySelector('meta[name="csrf-token"]').content
      },
      body: JSON.stringify({/* 表单数据 */})
  });
  

• 在Laravel控制器中检查并记录这个键：

  public function submit(Request $request)
  {
      $idempotencyKey = $request->header('Idempotency-Key');
      
      if (!$idempotencyKey) {
          abort(400, '缺少幂等性验证键');
      }
  
      // 用缓存存储已处理的键（推荐用Redis，也可以用数据库）
      $cacheKey = 'idempotency_' . $idempotencyKey;
      if (Cache::has($cacheKey)) {
          return response()->json(['message' => '该请求已处理'], 409);
      }
  
      // 处理业务逻辑
      // ...
  
      // 将键存入缓存，设置过期时间（比如1小时，根据业务调整）
      Cache::put($cacheKey, true, 3600);
  
      return response()->json(['message' => '提交成功']);
  }
  

这个方案特别适合需要保证请求幂等性的API场景，即使客户端重复发送请求，服务端也只会处理一次。

4. 数据库层面的唯一约束（终极保障） #

最后还可以在数据库层面加一道防线，给需要唯一的字段组合添加唯一索引，从数据存储层面阻止重复：

示例： #

假设你有submissions表，要防止同一个用户重复提交相同内容，迁移文件可以这么写：

Schema::create('submissions', function (Blueprint $table) {
    $table->id();
    $table->foreignId('user_id')->constrained();
    $table->text('content');
    // 添加用户ID+内容的唯一索引
    $table->unique(['user_id', 'content']);
    $table->timestamps();
});

然后在控制器中捕获唯一约束的异常：

public function submit(Request $request)
{
    try {
        // 创建提交记录
        Submission::create([
            'user_id' => auth()->id(),
            'content' => $request->input('content'),
        ]);
    } catch (\Illuminate\Database\QueryException $e) {
        // 检查是否是唯一约束错误（SQL错误码23000）
        if ($e->getCode() === '23000') {
            return redirect()->back()->with('error', '你已经提交过相同内容了！');
        }
        // 其他异常正常抛出
        throw $e;
    }

    return redirect()->back()->with('success', '提交成功！');
}

这是最后一道防线，即使前面的服务端验证被绕过，数据库也会直接阻止重复数据插入。

总结一下，你可以根据业务场景选择合适的方案：

• 简单表单场景：用CSRF令牌再生的方法最便捷
• 多表单/精细控制：自定义一次性令牌
• API/异步请求：幂等性键方案
• 数据唯一性要求高：数据库唯一约束做终极保障

内容的提问来源于stack exchange，提问作者Abdan Syakuro