ThinkPHP 6中token函数在哪？

Question

在ThinkPHP 6开发中，许多开发者常遇到“token函数找不到”或“Token类无法加载”的问题。主要原因是ThinkPHP 6默认不再内置CSRF令牌（token）生成函数，原有的`token()`助手函数已被移除。开发者需自行实现或通过扩展包管理表单令牌。常见疑问如：系统自带的`token()`函数为何调用失败？如何正确生成和验证表单令牌？应使用中间件配合Session存储手动实现，或集成第三方安全组件替代原有功能。

Answer 1

ThinkPHP 6中Token函数缺失问题的深度解析与解决方案

1. 问题背景：为何token()函数调用失败？

在ThinkPHP 5.x版本中，框架内置了token()助手函数用于生成CSRF令牌，广泛应用于表单防跨站请求伪造（CSRF）攻击。然而，从ThinkPHP 6开始，官方为了精简核心、提升灵活性，移除了该函数及相关Token类的默认支持。

因此，当开发者沿用旧有习惯调用token()或尝试实例化think\facade\Token时，会触发“函数未定义”或“类无法加载”的错误。

2. 核心原因分析

• ThinkPHP 6采用更模块化的设计理念，默认不包含CSRF相关组件。
• 原有的token()助手函数已被从系统助手库中移除。
• Session机制仍可用，但需手动结合使用以实现令牌管理。
• 安全策略由开发者自主选择，鼓励集成第三方包或自定义中间件。

3. 解决方案路径概览

方案类型	实现方式	适用场景	维护成本
手动实现	通过Session生成和验证Token	轻量级项目、定制化需求高	中等
中间件自动注入	使用前置中间件生成并嵌入模板	多表单应用、统一安全管理	较高
第三方扩展包	引入composer包如topthink/think-csrf	快速上线、标准合规项目	低

4. 手动实现Token生成与验证

可通过以下代码在控制器中手动创建Token：

// 生成Token
$token = md5(uniqid() . rand(1000, 9999));
session('form_token', $token);

// 视图中输出隐藏字段
echo '<input type="hidden" name="__token__" value="' . $token . '" />';
    

提交时进行验证：

$submittedToken = input('__token__');
$storedToken = session('form_token');

if (!$submittedToken || $submittedToken !== $storedToken) {
    return json(['code' => 400, 'msg' => '非法请求：Token验证失败']);
}
session('form_token', null); // 验证后销毁
    

5. 使用中间件统一管理Token

创建中间件App\Middleware\CsrfMiddleware：

namespace App\Middleware;

use Closure;
use think\Request;
use think\App;

class CsrfMiddleware
{
    public function handle(Request $request, Closure $next)
    {
        if ($request->isPost()) {
            $token = $request->post('__token__');
            if (!$token || $token !== session('csrf_token')) {
                return response('CSRF Token验证失败', 403);
            }
            session('csrf_token', null);
        }

        // 为GET请求页面生成新Token
        if ($request->isGet() && $request->isAjax() === false) {
            $newToken = md5(uniqid() . time());
            session('csrf_token', $newToken);
            View::share('csrf_token', $newToken);
        }

        return $next($request);
    }
}
    

6. 集成第三方CSRF扩展包

推荐使用社区维护的topthink/think-csrf：

composer require topthink/think-csrf
    

配置中间件自动启用：

// app/middleware.php
return [
    \think\middleware\CheckCsrfToken::class,
];
    

7. 流程图：Token验证全过程

graph TD
            A[用户访问表单页面] --> B{是否为GET请求?}
            B -- 是 --> C[生成CSRF Token]
            C --> D[存入Session]
            D --> E[渲染模板并插入隐藏域]
            B -- 否 --> F{是否为POST提交?}
            F -- 是 --> G[提取表单Token]
            G --> H[比对Session中的Token]
            H --> I{匹配成功?}
            I -- 是 --> J[处理业务逻辑]
            I -- 否 --> K[返回403错误]
            J --> L[清除Token]

8. 安全建议与最佳实践

• 每次提交后应立即清除已使用的Token，防止重放攻击。
• 避免将Token暴露在URL中，仅限表单隐藏字段或Header传递。
• 对AJAX请求可采用X-CSRF-Token头部方式传输。
• 设置Token有效期（如10分钟），增强安全性。
• 生产环境务必开启HTTPS，保护Token传输过程。
• 考虑结合IP绑定或User-Agent校验提升防御等级。
• 定期审计Token生成逻辑，防止熵不足导致可预测性风险。
• 使用random_bytes()替代md5(uniqid())提高随机性。