在PHP Web开发中，表单是用户与服务端交互的基础方式。但原生表单提交后若用户按下F5刷新页面，浏览器会重新发送上一次的POST请求，导致数据被重复写入数据库。同时，当校验失败返回原页面时，若不做处理，用户刚填写的内容会全部丢失，错误信息也难以友好展示。要解决这些问题，需要结合服务端重定向、会话存储与结构化错误提示来实现一套完整的提交闭环。
一、为什么刷新会造成重复提交
HTTP协议本身是无状态的，浏览器在用户点击提交按钮时，会将表单数据以POST方法发给服务器。服务器处理完成后如果直接输出HTML页面，此时浏览器地址栏仍停留在提交URL且请求类型为POST。当用户刷新时，浏览器出于安全考虑会询问是否重新提交，一旦确认，相同的POST数据再次到达服务端，便产生了重复插入或重复业务逻辑。
这种机制并非PHP特有，而是所有基于请求响应模型的Web技术共有的行为。很多初学者试图用前端JS在提交后禁用按钮，但这无法阻止用户刷新页面，也无法防御禁用了JavaScript的客户端。因此必须从服务端层面切断“刷新即重发”的链路。
二、使用Post Redirect Get模式阻断重发
Post Redirect Get（简称PRG）是业界通用的解决方案。其原理是：服务端收到POST请求并处理好数据后，不直接渲染结果页，而是通过header()发送302重定向指令，让浏览器发起一次全新的GET请求去显示页面。由于最终地址是GET，用户刷新时只会重复安全的GET，不会重发POST数据。
下面是一段基础的重定向代码示例，展示提交成功后如何跳走：
<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
// 假设校验通过且数据已入库
header('Location: /form-success.php', true, 302);
exit;
}
?>
需要注意的是，调用header()前不能有任何实际输出，包括HTML标签和空格，否则会出现“Cannot modify header information”警告。若校验失败，我们则不应重定向，而是把错误和输入暂存后重定向回表单页自身，由GET请求负责展示。
三、用SESSION保留用户输入与错误
重定向会导致原POST数据消失，因此需要在重定向前将用户填写的值和错误信息写入$_SESSION。GET请求渲染表单时，从SESSION中读取并填充到value属性或textarea内容中，随后立即清除SESSION里的临时数据，防止下次访问残留。
以下示例演示了校验失败时的保留逻辑：
<?php
session_start();
$errors = [];
$old = [];
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$name = trim($_POST['name'] ?? '');
$email = trim($_POST['email'] ?? '');
if ($name === '') {
$errors['name'] = '姓名不能为空';
}
if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
$errors['email'] = '邮箱格式不正确';
}
if (!empty($errors)) {
$_SESSION['errors'] = $errors;
$_SESSION['old'] = ['name' => $name, 'email' => $email];
header('Location: ' . $_SERVER['PHP_SELF'], true, 302);
exit;
}
// 此处执行入库等成功逻辑
header('Location: /success.php', true, 302);
exit;
}
// GET阶段：读取并清理
$errors = $_SESSION['errors'] ?? [];
$old = $_SESSION['old'] ?? [];
unset($_SESSION['errors'], $_SESSION['old']);
?>
上述代码中，$_SERVER['PHP_SELF']指向当前脚本，实现提交失败跳回自身。通过unset及时清理，避免用户直接访问表单时还带着上一次的错误。该方式对用户体验提升明显，用户修正邮箱时姓名不会丢。
四、在表单中优雅展示错误与回填
错误信息应当贴近对应字段，用强调样式呈现。同时输入框的value必须使用htmlspecialchars()转义，防止XSS注入。下面是一段融合了错误显示与数据回填的HTML表单：
<form method="post" action="">
<p>
<label>姓名</label><br/>
<input type="text" name="name" value="<?php echo htmlspecialchars($old['name'] ?? '', ENT_QUOTES); ?>">
<?php if (isset($errors['name'])): ?>
<span style="color:red;"><?php echo $errors['name']; ?></span>
<?php endif; ?>
</p>
<p>
<label>邮箱</label><br/>
<input type="text" name="email" value="<?php echo htmlspecialchars($old['email'] ?? '', ENT_QUOTES); ?>">
<?php if (isset($errors['email'])): ?>
<span style="color:red;"><?php echo $errors['email']; ?></span>
<?php endif; ?>
</p>
<p><button type="submit">提交</button></p>
</form>
这里用红色span直接展示错误，无需弹窗。由于htmlspecialchars将双引号、尖括号转义，即使姓名中输入了恶意脚本也会被当成文本。对于多行文本框，应将$old值放在标签之间而非value中。
五、补充防重复令牌方案
除了PRG，还可以引入CSRF风格的一次性令牌。每次渲染表单生成随机token存入SESSION，提交时校验，用完即毁。这能进一步防止他人用脚本重放请求，也避免了用户后退再提交造成的旧数据写入。
示例令牌校验逻辑如下：
<?php
session_start();
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$token = $_POST['token'] ?? '';
if (!isset($_SESSION['token']) || $token !== $_SESSION['token']) {
die('非法请求或重复提交');
}
unset($_SESSION['token']);
}
$_SESSION['token'] = bin2hex(random_bytes(16));
?>
将令牌以隐藏域放入表单即可。该做法与PRG并不冲突，前者解决刷新重发，后者解决请求伪造与幂等性，生产环境建议两者并行。
六、小结与最佳实践
综合来看，防止PHP表单刷新重复提交的核心在于服务端重定向加会话暂存。具体落地时，应先开启session_start()，在POST中完成校验与入库，失败则存错跳转，成功则跳结果页。GET渲染时安全回填并清除SESSION。配合令牌机制可让系统更健壮。
不要依赖前端禁用或弹窗提示作为唯一手段，服务端永远是可信边界。按照上述结构组织代码，你的表单将具备良好的容错性与用户体验，也更符合现代Web规范。