laravelでformデータの多重送信対策をしたい

Question

前提

Laravel5.7を使用して学習のため自作でログイン機能などを作成しております。
ですのでmake:authは使っていません。

パスワードを忘れてしまったユーザーに対して登録したメールアドレスを入力してもらう事で
パスワード再設定のご案内メールを送るページでの質問です。

実現したいこと

送信ボタンの連打、またはブラウザバックによるメールの多重送信を防ぎたい。

発生している問題

$request->session()->regenerateToken();

上記を使えば重複したリクエストが発生した場合、
リクエスト中のトークン（$request->_token）と
セッションに保存されているトークン（$request->session()->token()）が
一致しなくなりエラーが返され多重で送信されないという事まで調べてわかりました。
（違っていたらご指摘お願い致します）

しかし私のコードでは連打すると１通目と２通目のセッション、トークン共に全て値が同じで
ブラウザバックすると１通目と２通目の値は違うもののセッションとトークンは一致しており多重送信されてしまいます。

何が間違っているのかわからない為ご教授頂けたらと思います。

補足

今回はセッションとトークンの値を簡単に確認するために
メールの件名にセッション、内容にトークンを入れています。

該当のソースコード

@extends('layouts.default')


@section('content')
<div class="container mt-5">
    <div class="row justify-content-center">
        <div class="col-md-8">
            <div class="card">
                <div class="card-header">{{'パスワードの再設定申請'}}</div>
		<div class="card-body">
                    <p>登録されているメールアドレスを入力し、送信ボタンを押して下さい。</p>
                    <form method="POST" action="{{ url('/auth/password/forgot') }}">
                        @csrf
                        <div class="form-group row">
                            <label for="email" class="col-md-4 col-form-label text-md-right">{{'メール'}}</label>
                            <div class="col-md-6">
                                <input id="email" type="email" class="form-control{{ $errors->has('email') ? ' is-invalid' : '' }}" name="email" value="{{ old('email') }}" required maxlength="100" autofocus>
                                @if ($errors->has('email'))
                                    <span class="invalid-feedback" role="alert">
                                        <strong>{{ $errors->first('email') }}</strong>
                                    </span>
                                @endif
                                @if (isset($message))
                                    <span class="invalid-feedback" role="alert">
                                        <strong>{{ $message }}</strong>
                                    </span>
                                @endif
                            </div>
                        </div>
                        <div class="form-group row mb-0">
                            <div class="col-md-8 offset-md-4">
                                <button type="submit" class="btn btn-primary">
                                    {{'送信'}}
                                </button>
                            </div>
                        </div>
                    </form>
                </div>
            </div>
        </div>
    </div>
</div>
@endsection

public function sendForgetMail(Request $request)
    {
        $request->validate([
            'email' => 'required|string|email|max:100|exists:users,email',
        ]);
            $user = UsersTable::getUserData($request->email);
            // トークン作成
            $token = Common::createToken($request->email);
            // URLの作成
            $url = Common::fetchUrlForMail('auth/password/reset', $token);
            // パスワードリセットテーブルに保存
            TokensTable::insertPassToken($user->id, $token);

            // メール送信
            $mailer = new Mailer();
            //$mailer->sendMail($url, $request->email, 'パスワード再設定のご案内', 'emails.templates.password_reset_mail');
            $mailer->sendMail($request->_token, $request->email, $request->session()->token(), 'emails.templates.password_reset_mail');
            // 二重送信対策
            $request->session()->regenerateToken();

            // 送信完了メッセージ
            return view('auth.password.request_result');
    }

Comments

[m.ts10806]

fromではなくformでは？
細かいですが名前が決まっているもののスペルミスは致命的になり得ます。正確に記載願います

[seibi02]

タイトル修正しました。

Answer 1

直接の問題解決にはなりませんが、発生している問題に書いてある

しかし私のコードでは連打すると１通目と２通目のセッション、トークン共に全て値が同じで
ブラウザバックすると１通目と２通目の値は違うもののセッションとトークンは一致しており多重送信されてしまいます。

の部分について、同様のことを調べていましたので説明させていただきますね。

LaravelではSessionに保存されている値はリクエストの最初の方でStore(FileやMemcached)などから読み込まれ、その後Arrayとして保持されて、レスポンスを返す直前でStoreに書き込まれます。

つまり連打した場合にはリクエスト後にregenerateTokenは実行されますが、その後のStoreへの書き込みが終わっていない状態でさらにリクエストが始まるという動きになり、Storeに書き込ま得れるまえのtokenが読み出されるので一致してしまいます。

これはStartSessionというMiddlewareに実装が書かれていて、レスポンスを作成したあとにreturnする直前にsaveSessionしていることがわかります。

https://github.com/laravel/framework/blob/6.x/src/Illuminate/Session/Middleware/StartSession.php#L65

Comments

[seibi02]

返信遅れてすみません　回答ありがとうございます。
つまり今のやり方ではlaravelの仕様上多重送信を防ぐことは不可能なんですね。。。

Answer 2

キータにこんな記事がありました。

引用
送信ボタンダブルクリックでの二重送信防止
こんな感じのJavaScriptを仕込んでおくといいと思う。

Laravel 5で確認画面付き問い合わせフォームを作る - Qiita

Comments

[seibi02]

回答ありがとうございます。
$request->session()->regenerateToken();による処理がどうしても出来ない場合は
jsにて対策しようと思います。