Yii框架接口Postman调不通主因是CSRF未绕过、Token头格式错误、Cookie未持久化或URL路由配置失效，需检查X-CSRF-Token头、Authorization格式、PHPSESSID传递及urlManager规则。
Yii框架接口在Postman里跑不通，八成不是代码问题，而是CSRF、Token格式、Cookie或URL路由没对上。
Yii2 API返回401/403：CSRF没绕过或token头写错了
Yii2默认对POST/PUT/DELETE启用CSRF校验，哪怕你用的是REST接口。如果控制器继承了yii\rest\ActiveController但没显式删掉CSRF行为，请求就会被拦——尤其配合Cors时容易冲突。
- 临时调试：在控制器里加
public $enableCsrfValidation = false;（仅限本地，上线前必须删） - 正经做法：在Postman的Headers里手动加
X-CSRF-Token，值从/site/login响应的Set-Cookie或HTML里的<meta name="csrf-token" content="xxx">里取 - JWT场景下，
HttpBearerAuth只认Authorization: Bearer <token>，header名必须是Authorization（首字母大写、无空格），小写authorization或带多余空格都会失败 - 检查
user组件配置中identityClass是否指向实现了findIdentityByAccessToken()的模型，否则日志只报Unauthorized，不提示具体原因
Postman发请求一直401：Session没续上或Cookie被拦截
Yii2依赖PHP Session维持登录态，而Postman默认不自动管理Cookie，跨请求时PHPSESSID就丢了——尤其当接口部署在https://api.example.com，你却往http://localhost:8080发请求时，浏览器同源策略会直接阻止Cookie发送。
- Postman设置里必须打开
Automatically persist cookies（Settings → General） - 调试期把
session组件的cookieParams['httpOnly']设为false，否则Postman读不到PHPSESSID - 别硬调跨协议/跨域请求，改用
curl命令验证逻辑，比如：curl -b "PHPSESSID=abc123" http://localhost/api/v1/users
Postman批量测试时URL 404：URL规则没配对或模块没注册
Yii2 REST接口依赖urlManager的UrlRule解析路径。如果你访问/api/v1/users却返回404，大概率是路由没生效，而不是控制器不存在。
- 确认
config/web.php里urlManager启用了enablePrettyUrl，且rules中注册了对应模块的yii\rest\UrlRule，例如：'class' => 'yii\rest\UrlRule', 'controller' => ['v1/user'] - 检查
modules配置是否正确加载了v1模块，类路径是否匹配，比如api\modules\v1\Module和命名空间api\modules\v1 - 确保入口脚本（如
api/web/index.php）加载的是API专用配置，而不是web端配置——混用会导致user组件开启enableSession，和REST设计冲突
真正卡住人的地方，往往不是代码写错，而是CSRF开关、header大小写、Cookie持久化这三处细节没对齐。调试时先看runtime/logs/app.log，搜HttpBearerAuth::authenticate或Forbidden，比反复重发请求更省时间。
