Yii框架报500错误时，首要排查配置、权限或CSRF验证三类问题：先开启YII_DEBUG=true查看真实异常；若报assets目录不可写，需确保Web进程用户对其有写权限；AJAX请求500多因CSRF拦截，应传递_csrf参数或在对应action中局部关闭验证。
Yii 框架报 500 错误，绝大多数情况不是代码逻辑崩溃，而是配置、权限或 CSRF 验证这三类问题卡住了——先别急着翻业务代码，按顺序查这三块。
看真实错误信息：必须开 YII_DEBUG
默认关闭调试模式时，500 就是黑盒。打开 web/index.php，确认这一行是：
defined('YII_DEBUG') or define('YII_DEBUG', true);
刷新页面，就能看到带堆栈的原始异常。常见错误包括：
-
InvalidConfigException：比如The directory is not writable by the Web process: .../web/assets -
Unknown Class：类名拼错、命名空间漏写、自动加载失效 -
SQLSTATE[HY000] [2002]：数据库连接失败，但被统一吞成 500
不开 YII_DEBUG 直接调权限或改配置，等于蒙眼修车。
assets 目录不可写：chmod 777 不是万能，但往往是第一步
报错里出现 /web/assets 路径 + “not writable”，说明 Yii 的 AssetManager 无法生成资源文件。这不是 bug，是部署疏忽：
- 确认 Web 进程用户（如
www、nginx或apache）对web/assets有写权限 - 用
ls -ld web/assets查当前所有者和权限；若属主是root且权限是755，Web 进程大概率写不了 - 临时验证：运行
chmod 777 web/assets（仅限排查，上线前应收紧） - 更稳妥做法：
chown -R www:www web/assets && chmod -R 755 web/assets（按实际 Web 用户名调整）
注意：assets 目录本身必须存在，且不能是软链指向不可写位置。
AJAX 或 API 请求突然 500：检查 CSRF 验证是否误伤
表单 POST 正常，但 AJAX POST 报 500（尤其返回空响应或 HTML 页面），基本就是 CSRF 拦截了：
- 前端没传
_csrf参数：用= Yii::$app->request->csrfToken ?>获取 token，并作为字段提交 - API 接口被全局 CSRF 拦住：在对应 Controller 顶部加
public $enableCsrfValidation = false; - 只关某个 action：重写
beforeAction()，用$action->id判断后动态设$this->enableCsrfValidation = false - 千万别在
config/web.php里全局关掉enableCsrfValidation—— 这会直接废掉登录、删除等关键操作的安全防护
CSRF 是 Yii 默认开启的守门人，它不报具体错，只静默返回 500，所以现象特别像“服务器崩了”。
自定义错误页或 API 返回混乱：ErrorHandler 没接管好
开了 YII_DEBUG 能看到错，但关了就又变 500 空页或 HTML 源码？说明 yii\web\ErrorHandler 没适配你的场景：
- API 项目必须禁用 HTML 渲染：在
config/web.php的components中明确指定'errorHandler' => ['errorAction' => 'api/error'] -
api/error对应的 action 必须返回数组（Yii 自动 JSON 化），不能echo或die - 别依赖
response->format = Response::FORMAT_JSON—— 它只管正常响应，不管异常流 - 如果
$exception->statusCode是 null（比如普通Exception），记得手动兜底设状态码，否则可能返回 200 + 错误 JSON
这个环节最容易被忽略：你以为关了 debug 就只是“不显示堆栈”，其实连错误格式都退回了默认 HTML 模式。
