Yii2接口在Postman或Insomnia中返回401/403，主因是CSRF校验未绕过、JWT的Authorization头格式错误、Cookie未持久化或响应格式不规范；需分别配置X-CSRF-Token、严格使用Authorization头、开启Postman自动存Cookie、强制设置response format为JSON。
Postman里Yii2接口返回401或403，多数是没传X-CSRF-Token
Yii2默认开启CSRF验证，API请求若走yii\filters\Cors但没显式禁用CSRF，POST/PUT/DELETE会被拦。不是所有接口都这样——只有绑了yii\filters\VerbFilter且方法受限的才触发。
实操建议：
- 开发环境可临时在控制器加
public $enableCsrfValidation = false;（仅限调试，勿上线） - 更稳妥的做法：在Postman的
Headers里手动加一行X-CSRF-Token: <your-token></your-token>，token从/site/login成功响应的Set-Cookie或页面HTML里meta[name="csrf-token"]提取 - 如果用
yii\rest\ActiveController子类，记得重写behaviors()，把csrf行为删掉，否则Cors和AuthMethod可能打架
Insomnia配置Yii2 JWT认证时Authorization头总被忽略
Yii2的yii\filters\auth\HttpBearerAuth只认Authorization: Bearer <token></token>格式，且要求header名严格为Authorization（大小写敏感），Insomnia默认生成的header键可能带空格或用了authorization小写。
实操建议：
- 在Insomnia的
Headers面板里，手动输入键为Authorization（首字母大写，无空格），值为Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9... - 检查Yii2配置中
user组件的identityClass是否正确指向实现了findIdentityByAccessToken()的模型，否则token校验直接失败，日志里只留Unauthorized不报具体原因 - 如果Yii2开了
debug模式，打开runtime/logs/app.log，搜HttpBearerAuth::authenticate能定位到是解析失败还是查询失败
Postman批量测试Yii2 API时Cookie状态无法跨请求保持
Yii2依赖PHP Session维持登录态，而Postman默认不自动管理Cookie（尤其跨域名或带SameSite=Strict时）。你点一次登录，下个GET请求仍401，大概率是Session ID没续上。
实操建议：
- Postman设置里打开
Settings → General → Automatically persist cookies（必须勾选） - 确认Yii2的
session组件配置里cookieParams['httpOnly']设为false（调试期），否则Postman读不到PHPSESSID - 如果接口部署在
https://api.example.com但Postman发到http://localhost:8080，浏览器同源策略会阻止Cookie发送——此时别硬调，改用curl命令行或直接配Hosts走同一域名
Yii2返回JSON但Postman显示Parser error: Unexpected token
这通常不是JSON格式问题，而是Yii2在错误路径下输出了HTML（比如404页面、PHP fatal error的堆栈、或Apache的500错误页），Postman却当成JSON去parse。真实响应体开头是，自然报错。
实操建议：
- 在Postman的
Response标签页右上角，点Preview旁的Body，看原始响应内容，确认是不是HTML - 检查Yii2入口脚本
web/index.php末尾是否漏了exit($app->run());，或者中间件提前echo了东西 - 在控制器里用
Yii::$app->response->format = \yii\web\Response::FORMAT_JSON;强制格式，比依赖Content-Type头更可靠
CSRF、Token传递、Cookie生命周期、响应格式——这些点单独看都很简单，但串在一起就容易漏掉一环。特别是本地开发时关了CSRF，一上测试环境就全崩，得挨个确认每个环节的开关状态。
