ThinkPHP内置了一个表单令牌验证功能，可有效防止形式及其他安全防护远程投稿。

与表单令牌验证相关的配置参数是：





token_on= >真 / /是否开启令牌验证
token_name= > '__hash__ ' / /令牌验证表单隐藏字段名称
token_type= > 'md5 ' / /令牌验证规则默认MD5哈希

如果我们打开表单令牌验证功能，系统自动生成的隐藏域token_name在表单模板文件的名称，和价值的产生是通过token_type哈希字符串，用来实现自动令牌验证形式。

自动生成的隐藏字段位于窗体窗体的结尾处。如果你想控制隐藏字段的位置，您可以手动添加到表单页面__token__标志。系统会自动替换输出模板。如果你打开表单令牌验证，你不需要使用令牌验证功能的单个窗体，您可以添加__notoken__的表单页面，那么系统会忽略当前表单令牌验证。

如果有多个网页的形式，建议添加__token__身份和确保只有一个形式需要令牌验证。

模型类在创建数据对象时自动形成表单令牌验证操作。If you don't use create to create data objects, you need to manually invoke the autoCheckToken method of the model to do form token validation.If the false is returned, the form token verification error is represented.For example:







用户= m（用户）；
手动验证令牌
如果（！用户-> autochecktoken美元（美元_post））{
令牌验证错误
}

一个常见的模板替换函数在ThinkPHP框架的view.class.php定义







保护功能templatecontentreplace（$content）{
替换默认的系统/特殊变量
$ =数组（
.. /公众= > app_public_path /公共目录项目
__public__= > web_public_path /公共目录网站
__tmpl__= > app_tmpl_path / /项目模板目录
__root__= > __root__， / /当前网站地址
__app__= > __app__， / /当前项目。
__upload__= > __root__ /上传，
__action__= > __action__， / /当前操作。
__self__= > __self__， / /当前页。
__url__= > __url__，
__info__= > __info__，
）；
如果（定义（'group_name '））
{
{ } = '__group__取代美元__group__； / /当前项目。
}
If (C ('TOKEN_ON')) {
如果（strpos（$的内容，{ }__token__））{
指定的表单令牌隐藏位置
{{ }取代美元__token__} =美元-> buildformtoken（）；
} elseif（strpos（$的内容，{ }__notoken__））{
标记为不需要令牌验证
{{ }取代美元__notoken__} =；
} elseif（preg_match（ / /是的，为内容，$匹配））{
表单生成的智能令牌隐藏字段
为取代{ $匹配{ 0 } } =美元-> buildformtoken（）。$匹配{ 0 }；
}
}
允许用户自定义模板字符串替换
如果（is_array（C（'tmpl_parse_string '）））
取代美元= array_merge（$替换，C（'tmpl_parse_string '））；
$content = str_replace（array_keys（$替换），array_values（美元取代美元），内容）；
返回$内容；
}

以上如果（C（'token_on '））是令牌验证开放状态的判断。如果是打开的，它要求buildformtoken（）方法，_session美元美元美元tokenname } = { tokenvalue，事实上，将价值_session美元{ '__hash__}。如果你不想做令牌验证，只加{ }前__notoken__添加页面，它将由函数代替。

令牌的验证函数在类中定义的model.class.php ThinkPHP





表单/令牌验证
如果（C（'token_on）！美元-> autochecktoken（$数据））{
美元->错误= L（'_token_error_）；
返回false；
}

自动表单/令牌验证
公共功能autochecktoken（$数据）{
$name = C（'token_name）；
如果（isset（$ _session {姓名}美元））{
当前需要进行令牌验证
如果（空（$数据{ $名}）| | _session {姓名}美元美元！= $ { $ }）{
提交/非法
返回false；
}
完全销毁会话验证
撤消（$ _session { $名}）；
}
返回true；
}