4.4 防止多次递交表单

不知道你是否曾经看到过一个论坛或者博客,在一个帖子或者文章后面出现多条重复的记录,这些大多数是因为用户重复递交了留言的表单引起的。由于种种原因,用户经常会重复递交表单。通常这只是鼠标的误操作,如双击了递交按钮,也可能是为了编辑或者再次核对填写过的信息,点击了浏览器的后退按钮,然后又再次点击了递交按钮而不是浏览器的前进按钮。当然,也可能是故意的——比如,在某项在线调查或者博彩活动中重复投票。那我们如何有效的防止用户多次递交相同的表单呢?

解决方案是在表单中添加一个带有唯一值的隐藏字段。在验证表单时,先检查带有该唯一值的表单是否已经递交过了。如果是,拒绝再次递交;如果不是,则处理表单进行逻辑处理。另外,如果是采用了Ajax模式递交表单的话,当表单递交后,通过javascript来禁用表单的递交按钮。

我继续拿4.2小节的例子优化:

  1. <input type="checkbox" name="interest" value="football">足球
  2. <input type="checkbox" name="interest" value="basketball">篮球
  3. <input type="checkbox" name="interest" value="tennis">网球
  4. 用户名:<input type="text" name="username">
  5. 密码:<input type="password" name="password">
  6. <input type="hidden" name="token" value="{{.}}">
  7. <input type="submit" value="登陆">

我们在模版里面增加了一个隐藏字段token,这个值我们通过MD5(时间戳)来获取唯一值,然后我们把这个值存储到服务器端(session来控制,我们将在第六章讲解如何保存),以方便表单提交时比对判定。

  1. func login(w http.ResponseWriter, r *http.Request) {
  2. fmt.Println("method:", r.Method) //获取请求的方法
  3. if r.Method == "GET" {
  4. crutime := time.Now().Unix()
  5. h := md5.New()
  6. io.WriteString(h, strconv.FormatInt(crutime, 10))
  7. token := fmt.Sprintf("%x", h.Sum(nil))
  8. t, _ := template.ParseFiles("login.gtpl")
  9. t.Execute(w, token)
  10. } else {
  11. //请求的是登陆数据,那么执行登陆的逻辑判断
  12. r.ParseForm()
  13. token := r.Form.Get("token")
  14. if token != "" {
  15. //验证token的合法性
  16. } else {
  17. //不存在token报错
  18. }
  19. fmt.Println("username length:", len(r.Form["username"][0]))
  20. fmt.Println("username:", template.HTMLEscapeString(r.Form.Get("username"))) //输出到服务器端
  21. fmt.Println("password:", template.HTMLEscapeString(r.Form.Get("password")))
  22. template.HTMLEscape(w, []byte(r.Form.Get("username"))) //输出到客户端
  23. }
  24. }

上面的代码输出到页面的源码如下:

防止多次递交表单 - 图1

图4.4 增加token之后在客户端输出的源码信息

我们看到token已经有输出值,你可以不断的刷新,可以看到这个值在不断的变化。这样就保证了每次显示form表单的时候都是唯一的,用户递交的表单保持了唯一性。

我们的解决方案可以防止非恶意的攻击,并能使恶意用户暂时不知所措,然后,它却不能排除所有的欺骗性的动机,对此类情况还需要更复杂的工作。