原来的token是每个页面对应一个session来存放__hash__值,
我的每个页面头部都有一个登录框,用户每访问一个页面就会产生一个token,如果用户一直不提交,那么token就不会自动销毁(除非session过期)。
一个解决方案是通过配置文件,关闭令牌,只有在需要的视图中打开配置参数。
但是我觉得我的网站不需要同时多个页面同时提交表单,而且我使用了session db hander扩展,内存表的char字段长度是有限制的,不可能无限存放那么多token。

所以我决定让用户只能保留一个token。
这样做还有一个好处,可以避免用户多个页面同时提交,刷回复什么的
ThinkPHP/lib/Behavior/TokenBuildBehavior.class.php
搜索// 创建表单令牌
private function buildToken() {
$tokenName = C('TOKEN_NAME');
$tokenType = C('TOKEN_TYPE');
if(!isset($_SESSION[$tokenName])) {
$_SESSION[$tokenName] = array();
}
// 标识当前页面唯一性
$tokenKey = md5($_SERVER['REQUEST_URI']);
if(isset($_SESSION[$tokenName][$tokenKey])) {// 相同页面不重复生成session
$tokenValue = $_SESSION[$tokenName][$tokenKey];
}else{
$tokenValue = $tokenType(microtime(TRUE));
$_SESSION[$tokenName][$tokenKey] = $tokenValue;
}
$token = '<input type="hidden" name="'.$tokenName.'" value="'.$tokenKey.'_'.$tokenValue.'" />';
return $token;
}改为:// 创建表单令牌
private function buildToken() {
$tokenName = C('TOKEN_NAME');
$tokenType = C('TOKEN_TYPE');
// if(!isset($_SESSION[$tokenName])) {
// $_SESSION[$tokenName] = array();
// }
$_SESSION[$tokenName]=array();//生成令牌前清空已有令牌。
// 标识当前页面唯一性
$tokenKey = md5($_SERVER['REQUEST_URI']);
if(isset($_SESSION[$tokenName][$tokenKey])) {// 相同页面不重复生成session
$tokenValue = $_SESSION[$tokenName][$tokenKey];
}else{
$tokenValue = $tokenType(microtime(TRUE));
$_SESSION[$tokenName][$tokenKey] = $tokenValue;
}
$token = '<input type="hidden" name="'.$tokenName.'" value="'.$tokenKey.'_'.$tokenValue.'" />';
return $token;
}这样就可以了。

评论() 相关

收藏

赞

zstxt1989

ThinkPHP 是一个免费开源的,快速、简单的面向对象的 轻量级PHP开发框架 ,创立于2006年初,遵循Apache2开源协议发布,是为了敏捷WEB应用开发和简化企业应用开发而诞生的。ThinkPHP从诞生以来一直秉承简洁实用的设计原则,在保持出色的性能和至简的代码的同时,也注重易用性。并且拥有众多的原创功能和特性,在社区团队的积极参与下,在易用性、扩展性和性能方面不断优化和改进,已经成长为国内最领先和最具影响力的WEB应用开发框架,众多的典型案例确保可以稳定用于商业以及门户级的开发。