服务器端防止表单重复提交之session的使用

上篇提到场景二、三在客户端无法解决，那么就到服务器端解决。服务器端解决就需要用到session了。

具体的做法：在服务器端生成一个唯一的随机标识号，专业术语称为Token(令牌)，同时在当前用户的Session域中保存这个Token。然后将Token发送到客户端的Form表单中，在Form表单中使用隐藏域来存储这个Token，表单提交的时候连同这个Token一起提交到服务器端，然后在服务器端判断客户端提交上来的Token与服务器端生成的Token是否一致，如果不一致，那就是重复提交了，此时服务器端就可以不处理重复提交的表单。如果相同则处理表单提交，处理完后清除当前用户的Session域中存储的标识号。

　　在下列情况下，服务器程序将拒绝处理用户提交的表单请求：

存储Session域中的Token(令牌)与表单提交的Token(令牌)不同。

当前用户的Session中不存在Token(令牌)。

用户提交的表单数据中没有Token(令牌)。

1.创建生成Token（令牌）的工具类TokenProccessor

package util;

import sun.misc.BASE64Decoder;
import sun.misc.BASE64Encoder;

import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.util.Random;

public class TokenProccessor {
/*
*单例设计模式（保证类的对象在内存中只有一个）
* 1.把类的构造函数私有
* 2.自己创建一个类的对象
* 3.对外提供一个公共的方法，返回类的对象
*/
private TokenProccessor(){}

private static final TokenProccessor instance = new TokenProccessor();
/*
*返回类的对象
* @return
*/
public static TokenProccessor getInstance(){
return instance;
}

/*
*生成Token
* Token：Nv6RRUGEVvmGjB+jimI/gw==
* @return
*/
public String makeToken() {  //checkException
String token = (System.currentTimeMillis() + new Random().nextInt(999999999)) + "";
//数据指纹 128位长 16个字节 md5
try {
MessageDigest md = MessageDigest.getInstance("md5");
byte md5[] = md.digest(token.getBytes());
//base64编码--任意二进制明文字符   adfsdfsdfsf
BASE64Encoder encoder = new BASE64Encoder();
return encoder.encode(md5);
} catch (NoSuchAlgorithmException e) {
throw new RuntimeException(e);
}
}
}

2.创建FormServlet，用于生成Token(令牌)和跳转到index.jsp页面

package com.servlet;

import util.TokenProccessor;

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
import java.io.IOException;

@WebServlet(name = "FormServlet")
public class FormServlet extends HttpServlet {
private static final long serialVersionUID = -884689940866074733L;
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
doGet(request,response);
}

protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
String token = TokenProccessor.getInstance().makeToken();  //创建令牌
System.out.println("在FormServlet中生成的token：" + token);
//在服务器中使用session保存token令牌
request.getSession().setAttribute("token",token);
//跳转到index.jsp页面
request.getRequestDispatcher("/index.jsp").forward(request, response);

}
}

3.DoFormServlet处理表单提交

package com.servlet;

import javax.servlet.http.HttpServletRequest;
import java.io.IOException;

public class DoFormServlet extends javax.servlet.http.HttpServlet {
protected void doPost(javax.servlet.http.HttpServletRequest request, javax.servlet.http.HttpServletResponse response) throws javax.servlet.ServletException, IOException {
doGet(request,response);
}

protected void doGet(javax.servlet.http.HttpServletRequest request, javax.servlet.http.HttpServletResponse response) throws javax.servlet.ServletException, IOException {
boolean b = isRepeatSubmit(request); //判断用户是否提交
if(b == true){
System.out.println("请不要重复提交");
return ;
}
request.getSession().removeAttribute("token"); //移除session中的token
System.out.println("处理用户提交请求！");
}

/*
*判断客户端提交上来的令牌和服务器生成的令牌是否一致
* @param request
* @return
*         true 用户重复提交了表单
*         false 用户没有重复提交表单
*/
private boolean isRepeatSubmit(HttpServletRequest request){
String client_token = request.getParameter("token");
System.out.println(client_token);
//1.如果用户提交的表单数据没有token，则用户是重复提交了表单
if(client_token == null){
return true;
}

//取出存储在Session中的token
String server_token = (String)request.getSession().getAttribute("token");
//2.如果当前用户的session中不存在Token令牌，则用户是重复提交了表单
if(server_token == null){
return true;
}

//3.存储在session中的Token令牌与表单提交的Token令牌不同，则用户是重复提交了表单
if(!client_token.equals(server_token)){
return true;
}

return false;
}
}

4.index.jsp

<%--
Created by IntelliJ IDEA.
User: Administrator
Date: 2018/3/21 0021
Time: 17:27
To change this template use File | Settings | File Templates.
--%>
<%@ page contentType="text/html;charset=UTF-8" language="java" import="java.util.*" %>
<html>
<head>
<title>Form表单</title>
<script type="text/javascript">
var isMark = false; //表单是否已经提交的标识，默认为false
function dosubmit() {
if(isMark == false){
isMark = true; //提交表单是否已经提交的标识设置为true
return true; //返回true让表单正常提交
}else{
return false; //返回为false那么表单将不提交
}
}
</script>
</head>
<body>
<!--首先访问FormServlet，在FormServlet中生成Token之后再重定向到form.jsp页面-->
<form action="${pageContext.request.contextPath}/DoFormServlet" method="get" onsubmit="return dosubmit()">
<%--使用隐藏域存储生成的token--%>
<%--
<input type="hidden" name="token" value="<%=session.getAttribute("token") %>">
--%>
<%--使用EL表达式取出存储在session中的token--%>
<input type="hidden" name="token" value="${token}"/>
用户名：<input type="text" name="username">
<input type="submit" value="提交" id="submit">
</form>
</body>
</html>

5.流程

浏览器访问FormServlet后重定向到index.jsp页面，提交表单DoFormServlet处理