Spring MVC服務器端防止重複提交

實現機制是使用token,簡單說下:

(a)進入下單頁,會生成一個token,同時存在兩個地方:session(或redis也可以)和頁面

(b)提交時,服務器接收到頁面的token後,會和session中的token比較,相同則允許提交,同時刪除session中的token;

(c)如果重複提交,則session中已經沒有token(已被步驟b刪除),那麼校驗不通過,則不會真正提交.

攔截器代碼:下載

Java代碼  

package com.chanjet.gov.filter;  

import org.apache.log4j.Logger;  

import org.springframework.web.method.HandlerMethod;  

import org.springframework.web.servlet.handler.HandlerInterceptorAdapter;  

import javax.servlet.http.HttpServletRequest;  

import javax.servlet.http.HttpServletResponse;  

import java.lang.reflect.Method;  

import java.util.UUID;  

/** 

 * Created by 黃威 on 9/20/16.<br > 

 *     防止下單頁重複提交 

 */  

public class RepeatTokenInterceptor  extends HandlerInterceptorAdapter {  

    private static Logger log = Logger.getLogger(RepeatTokenInterceptor.class);  

    @Override  

    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {  

        if (handler instanceof HandlerMethod) {  

            HandlerMethod handlerMethod = (HandlerMethod) handler;  

            Method method = handlerMethod.getMethod();  

            RepeatSubmitToken annotation = method.getAnnotation(RepeatSubmitToken.class);  

            if (annotation != null) {  

                boolean needSaveSession = annotation.save();  

                if (needSaveSession) {  

                    request.getSession(true).setAttribute("repeattoken", UUID.randomUUID().toString());  

                }  

                boolean needRemoveSession = annotation.remove();  

                if (needRemoveSession) {  

                    if (isRepeatSubmit(request)) {  

                        log.warn("please don't repeat submit,url:" + request.getServletPath());  

                        response.sendRedirect("/warn.html?code=repeatSubmitOrder&orgId="+request.getParameter("orgId"));  

                        return false;  

                    }  

                    request.getSession(true).removeAttribute("repeattoken");  

                }  

            }  

            return true;  

        } else {  

            return super.preHandle(request, response, handler);  

        }  

    }  

    private boolean isRepeatSubmit(HttpServletRequest request) {  

        String serverToken = (String) request.getSession(true).getAttribute("repeattoken");  

        if (serverToken == null) {  

            return true;  

        }  

        String clinetToken = request.getParameter("repeattoken");  

        if (clinetToken == null) {  

            return true;  

        }  

        if (!serverToken.equals(clinetToken)) {  

            return true;  

        }  

        return false;  

    }  

}

但是--

如果打開兩個標籤頁,則這兩個頁面分別有一個token,並且是不同的(理論上是不同的),但是session中只有一份,

其中一個提交後,就會刪除session中的token,那麼另外一個頁面提交時session中的token已爲空,那麼一定校驗不通過.

根本原因:

在同一時刻,session中只存了一份token,而頁面上可能有多個token(有n個頁籤,就會有n個不同的token).

既然找到了根本原因,那麼也就自然而然產生了解決方案.

思路:session中不能只存儲一份token,而是支持存儲多個token

具體技術方案:下載

(1)每次進入下單頁都會產生一個新的token,這個token都進入兩個數據流:

--(a)傳到頁面,key是repeattoken

前端頁面引用方式:

Html代碼  

<input type="hidden" name="repeattoken" value="${Session.repeattoken!}" >  

--(b)存儲到session(現在是增量,不會把原來的token替換掉)

(2)存儲到session中的key應該與頁面的key區分開來,使用"tokenpool"

優化之後的過濾器:下載

Java代碼  

package com.chanjet.gov.filter;  

import com.chanjet.gov.util.StringUtil;  

import org.apache.log4j.Logger;  

import org.springframework.web.method.HandlerMethod;  

import org.springframework.web.servlet.handler.HandlerInterceptorAdapter;  

import javax.servlet.http.HttpServletRequest;  

import javax.servlet.http.HttpServletResponse;  

import javax.servlet.http.HttpSession;  

import java.lang.reflect.Method;  

import java.util.UUID;  

/** 

 * Created by 黃威 on 9/20/16.<br > 

 *     防止下單頁重複提交 

 */  

public class RepeatTokenInterceptor  extends HandlerInterceptorAdapter {  

    /*** 

     * 用於前端頁面接收服務器端的token 

     */  

    public static final String SESSION_KEY_REPEATTOKEN="repeattoken";  

    /*** 

     * 用於session存儲n個token 

     */  

    public static final String SESSION_KEY_REPEATTOKEN_POOL = "tokenpool";  

    private static Logger log = Logger.getLogger(RepeatTokenInterceptor.class);  

    private void addRepeatToken(HttpServletRequest request, HttpServletResponse response){  

        HttpSession httpSession = request.getSession(true);  

        String token = (String) httpSession.getAttribute(SESSION_KEY_REPEATTOKEN_POOL);  

        System.out.println("addRepeatToken token:"+token);  

        String createdToken = UUID.randomUUID().toString();  

        httpSession.setAttribute(SESSION_KEY_REPEATTOKEN, createdToken);//給前端頁面用的  

        if(StringUtil.isNullOrEmpty(token)){  

            httpSession.setAttribute(SESSION_KEY_REPEATTOKEN_POOL, createdToken);  

        }else{  

            httpSession.setAttribute(SESSION_KEY_REPEATTOKEN_POOL, createdToken + "###" + token);  

        }  

    }  

    private void removeRepeatToken(HttpServletRequest request, HttpServletResponse response){  

        HttpSession httpSession = request.getSession(true);  

        String token = (String) httpSession.getAttribute(SESSION_KEY_REPEATTOKEN_POOL);  

        System.out.println("removeRepeatToken token:"+token);  

        if(!StringUtil.isNullOrEmpty(token)){  

            String clientToken = (String) request.getParameter(SESSION_KEY_REPEATTOKEN);  

            System.out.println("removeRepeatToken serverToken:"+clientToken);  

            if (clientToken == null) {  

                return;  

            }  

            token = token.replace(clientToken, "").replace("######", "###");  

            System.out.println("token:"+token);  

            httpSession.setAttribute(SESSION_KEY_REPEATTOKEN_POOL, token);  

        }  

    }  

    @Override  

    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {  

        if (handler instanceof HandlerMethod) {  

            HandlerMethod handlerMethod = (HandlerMethod) handler;  

            Method method = handlerMethod.getMethod();  

            RepeatSubmitToken annotation = method.getAnnotation(RepeatSubmitToken.class);  

            if (annotation != null) {  

                boolean needSaveSession = annotation.save();  

                if (needSaveSession) {  

                    addRepeatToken(request,response);  

                }  

                boolean needRemoveSession = annotation.remove();  

                if (needRemoveSession) {  

                    if (isRepeatSubmit(request)) {  

                        log.warn("please don't repeat submit,url:" + request.getServletPath());  

                        response.sendRedirect("/warn.html?code=repeatSubmitOrder&orgId="+request.getParameter("orgId"));  

                        return false;  

                    }  

                    removeRepeatToken(request,response);  

                }  

            }  

            return true;  

        } else {  

            return super.preHandle(request, response, handler);  

        }  

    }  

    private boolean isRepeatSubmit(HttpServletRequest request) {  

        //從池子裏面獲取token  

        String serverToken = (String) request.getSession(true).getAttribute(SESSION_KEY_REPEATTOKEN_POOL);  

        if (serverToken == null||"###".equals(serverToken)) {  

            return true;  

        }  

        String clinetToken = request.getParameter(SESSION_KEY_REPEATTOKEN);//請求要素  

        if (StringUtil.isNullOrEmpty(clinetToken)) {  

            return true;  

        }  

        System.out.println("clinetToken:"+clinetToken);  

        if (!serverToken.contains(clinetToken)) {  

            return true;  

        }  

        return false;  

    }  

}

日誌: