Token校验失败最常见报错是“Token error”或“非法请求：令牌验证失败”，本质是前后端Token值不一致，而非未生成。
Token 校验失败的典型错误信息是什么
最常见的报错是：Token error 或 非法请求：令牌验证失败，出现在 ThinkPHP 的 validateToken() 调用后，或自动校验中间件触发时。这不是 HTTP 404 或 500，而是框架层抛出的 ValidateException，通常伴随页面白屏或跳转到错误页。
根本原因不是“Token 没生成”，而是前后端 Token 值不一致 —— 可能是没传、传错字段名、被 JS 覆盖、或服务端校验时已失效。
-
token字段名必须严格匹配（默认是__token__，不是_token或csrf_token） - 表单提交方式必须是
POST（GET 请求即使带 token 也不会校验） - 同一 Token 只能使用一次，刷新页面后旧 Token 失效，但前端缓存了旧表单就会复用
如何确认 Token 是否正确生成并提交
ThinkPHP 默认在 form 中用 {:token()} 或 csrf_token()（V6.1+）生成隐藏域。关键不是“有没有”，而是“值对不对”、“传没传过去”。
打开浏览器开发者工具 → Network → 提交表单 → 查看 Request Payload，确认是否存在 __token__ 字段，且值与页面源码中 <input name="__token__" value="xxx"> 一致。
立即学习“PHP免费学习笔记（深入）”；
- 如果 payload 里没有
__token__：检查模板是否漏掉{:token()}，或被 JS 动态表单覆盖（如new FormData(form)未包含隐藏域） - 如果值不一致：可能是 JS 修改了
form的innerHTML，导致原始 input 被丢弃；或用了form.reset()后未重新生成 token - V6.1+ 使用
csrf_token()时，确保已调用think\facade\Form::token()初始化，否则返回空字符串
为什么 Ajax 提交总是 Token error
Ajax 场景下，__token__ 不会自动附带到请求体里，尤其用 fetch 或 axios 时，得手动取、手动塞。
常见错误是直接读 DOM 元素却选错了节点，或从缓存 HTML 中提取了过期值。
- 不要用
document.querySelector('input[name=__token__]').value—— 页面可能有多个表单，容易取错 - 推荐在表单上加 data 属性：
<form data-token="{{ csrf_token() }}"></form>，提交前用form.dataset.token读取 - 若用 JSON 提交（
Content-Type: application/json），需把 token 放进 body 对象：{ "title": "xxx", "__token__": "yyy" }，不能放 headers（框架默认只从 POST 数据解析） - 服务端开启
token_on配置后，所有 POST 接口都会校验，包括 API 接口 —— 如不需要，应在路由或控制器中显式关闭：$this->middleware('token')->except(['save'])
调试时该关还是该开 token 有效期和作用域
Token 默认有效期是 24 小时，且绑定客户端 IP 和 User-Agent。开发阶段这两项极易引发误判 —— 比如代理、内网穿透、浏览器无痕模式都会让 UA/IP 变动。
临时调试可改配置，但上线前必须还原。别在生产环境关 token，而要定位真实不一致点。
- 关闭 IP 绑定：
'token_bind' => ['user_agent']（去掉ip） - 延长有效期：
'token_expire' => 3600（1 小时，方便反复测试） - 查看当前 token 存储位置：
cache()->get('token_' . $tokenValue)，存在即说明生成成功；为空则说明生成失败或已被清理 - 注意：V6.0+ 的 token 存在
cache驱动中，若用 file 缓存，检查runtime/cache/下是否有对应文件；若用 redis，可用redis-cli keys "token_*"查看
Token 机制本身不复杂，难的是它藏在模板、JS、缓存、中间件多层之间。最常被忽略的是：表单重复渲染时没重置 token，或 Ajax 提交绕过了模板引擎的 token 注入逻辑 —— 这时候光看文档没用，得抓包比对实际收发的值。
