go web 防止多次递交表单

亦凉 2021-07-24 18:51 397阅读 0赞

# 一 问题提出 #

当用户重复点击按钮，会出现多次提交表单 。

# 二 重复提交表单操作 #

*  通常是鼠标的误操作，如双击了递交按钮。
 *  可能是为了编辑或者再次核对填写过的信息，点击了浏览器的后退按钮，然后又再次点击了递交按钮而不是浏览器的前进按钮。
 *  还可能是故意，如在某项在线调查或者博彩活动中重复投票。

# 三 解决方案 #

*  在表单中添加一个带有唯一值的隐藏字段。在验证表单时，先检查带有该唯一值的表单是否已经递交过了。如果提交过，拒绝再次递交；如果没提交过，则对提交的表单进行处理。
 *  如果是采用了 Ajax 模式递交表单的话，当表单递交后，通过 javascript 来禁用表单的递交按钮。

# 四 实战 #

## 1 代码 ##

前端代码：在模版里面增加了一个隐藏字段 token

<!DOCTYPE html>
    <html>
    <head>
        <title></title>
    </head>
    <body>
    <form action="/login" method="post">
        用户名:<input type="text" name="username">
        密码:<input type="password" name="password">
        <input type="hidden" name="token" value="{
         {.}}">
        <input type="submit" value="登陆">
    </form>
    </body>
    </html>

后端代码：通过 MD5 (时间戳)来获取唯一值 token，然后把这个值存储到服务器端，以方便表单提交时比对判定。

package main
    
    import (
       "crypto/md5"
       "fmt"
       "html/template"
       "log"
       "net/http"
       "strconv"
       "time"
    )
    
    // 登录逻辑
    func login(w http.ResponseWriter, r *http.Request) {
       fmt.Println("method:", r.Method) // 获取请求的方法
       if r.Method == "GET" {
          timestamp := strconv.Itoa(time.Now().Nanosecond())
          hashWr := md5.New()
          hashWr.Write([]byte(timestamp))
          token := fmt.Sprintf("%x", hashWr.Sum(nil))
          t, _ := template.ParseFiles("src\\goweb\\demo5\\login.html")
          t.Execute(w, token)
       } else {
          // 请求的是登陆数据，那么执行登陆的逻辑判断
          r.ParseForm()
          token := r.Form.Get("token")
          if token != "" {
             fmt.Println("验证token合法性")
          } else {
             fmt.Println("token 不存在，有问题")
          }
          fmt.Println("username length:", len(r.Form["username"][0]))
          fmt.Println("username:", template.HTMLEscapeString(r.Form.Get("username"))) //输出到服务器端
          fmt.Println("password:", template.HTMLEscapeString(r.Form.Get("password")))
          template.HTMLEscape(w, []byte(r.Form.Get("username"))) //输出到客户端
       }
    }
    
    func main() {
       http.HandleFunc("/login", login)         // 设置访问的路由
       err := http.ListenAndServe(":9090", nil) // 设置监听的端口
       if err != nil {
          log.Fatal("ListenAndServe: ", err)
       }
    }

# 五 测试 #

## 1 浏览器输入 [http://localhost:9090/login][http_localhost_9090_login] ##

![20210608183258522.png][]

## 2 上面页面对应的源码 ##

<!DOCTYPE html>
    <html>
    <head>
      <title></title>
    </head>
    <body>
    <form action="/login" method="post">
      用户名:<input type="text" name="username">
      密码:<input type="password" name="password">
      <input type="hidden" name="token" value="a8a80d4de4be262f61858b48f84f222c">
      <input type="submit" value="登陆">
    </form>
    </body>
    </html>

可以看到 token 已经有输出值，可以不断的刷新，可以看到这个值在不断的变化。这样就保证了每次显示 form 表单的时候都是唯一的，用户递交的表单保持了唯一性。

该解决方案可以防止非恶意的攻击，并能使恶意用户暂时不知所措。然而，它却不能排除所有的欺骗性的动机，对此类情况还需要更复杂的工作。

## 3 提交一次数据 ##

服务器打印如下：

method: GET
    method: POST
    验证token合法性
    username length: 5
    username: admin
    password: 123

可以通过判断 token 是否一致来确定是否是重复提交。

[http_localhost_9090_login]: http://localhost:9090/login
[20210608183258522.png]: /images/20210724/8153c7582027493890929f831014b701.png