A fim de evitar envios múltiplos de um mesmo formulário, segue abaixo recomendações básicas:
1. Desativar a submissão do formulário
Uma vez feito a ação de "submit", desative-o. Exemplo de técnica usando JavaScript:
<script type="text/javascript">
/**
Variável global "form_submited".
*/
window.form_submited = null;
/**
Função que verifica se a variável global possui o id do formulário que está sendo enviado.
*/
function AvoidMultiSubmit(frm)
{
/**
Instancia um objeto que receberá mensagens (erro, aviso, etc).
*/
frm_message = document.getElementById("form_sent_message");
/**
Compara o id do formulário atual com a variável global. Se for diferente, proseggue com o envio.
*/
if( form_submited != frm.id )
{
/**
Atribui o id do form atual a variável global.
*/
form_submited = form.id;
/**
Escreve mensagem de "loading".
*/
frm_message.innerHTML = "Os dados estão sendo processados, por favor, aguarde.";
/**
Permite o envio.
*/
return true;
}else{
/**
Escreve mensagem de "waiting".
*/
frm_message.innerHTML ="Por favor, aguarde o processamento dos dados.";
/**
Impede o envio.
*/
return false;
}
}
</script>
<div id="form_sent_message"></div>
<form id="frm1" onsubmit="return AvoidMultiSubmit(this);">
...
<form>
Por quê não poderia apenas desativar o botão na ação de click (onclick) ?
O motivo é que um formulário pode ser submetido por outros meios que não a ação de click. Por isso, o mais seguro é verificar no evento "OnSubmit".
2. Reforçando a segurança com cookie
Impedir o envio múltiplo de um formulário não é o suficiente pois, num simples "refresh", o usuário ainda terá o formulário "limpo" para enviar novamente.
A fim de reforçar a segurança, precisamos implementar uma verificação por cookies. O exemplo abaixo deve ser encaixado dentro da função "AvoidMultiSubmit", na condicional que envia o formulário:
var name = "cookie_frm1"; // nome do cookie
var value = "submited"; // um valor qualquer
var days = 1; // quantidade de dias de expiração
/**
Formata os parâmetros
*/
var date = new Date();
date.setTime(date.getTime()+(days*24*60*60*1000));
var expires=""+date.toGMTString();
/**
Cria o cookie
*/
document.cookie = name+"="+value+expires+"; path=/";
No script PHP que recebe os dados, verifique se o cookie existe:
if( isset( $_COOKIE['cookie_frm1'] ) )
{
echo 'Ação negada';
exit;
}
Obs: O bloqueio no PHP pode ser um redirecionamento ou conter outro tipo de mensagem mais amigável ao usuário. O exemplo acima é meramente didático.
Ao completar as execuções no PHP, caso não necessite retornar ao formulário, remova o cookie:
unset( $_COOKIE['cookie_frm1'] )