Yii2 CSRF验证失败主因是令牌不一致：AJAX中误用csrfToken动态生成新值，而应从读取初始令牌；手写表单需手动添加隐藏字段；前后端分离时须确保cookie域名/路径配置正确。

Yii 的 CSRF 验证失败，90% 是因为令牌没对上——不是没传，是传了但值变了、或来源不一致。

为什么 AJAX 提交总报 400 “Unable to verify your data submission”

根本原因不是 CSRF 功能坏了，而是 JavaScript 中用了 \yii::$app->request->csrfToken 动态取值。这个方法每次调用都会生成新令牌，而页面加载时 <meta name="csrf-token"> 和表单隐藏字段里存的是“初始令牌”。AJAX 请求头里塞了个新值，服务器一比对就失败。

• ✅ 正确做法：从 DOM 里读，比如 $('meta[name="csrf-token"]').attr('content')
• ❌ 错误写法：'X-CSRF-Token': '= \yii::$app->request->csrfToken ?>'（服务端模板渲染时就错了）
• 检查点：打开浏览器开发者工具 → Elements → 搜 csrf-token，确认 meta 标签存在且 content 不为空；再看 Network → 请求 Headers → X-CSRF-Token 值是否和 meta 里完全一致

手写

或弹窗表单提交时没带 CSRF 字段

Yii 只在 ActiveForm::begin() 或 Html::beginForm() 里自动注入 <input type="hidden" name="_csrf" value="...">。纯 HTML 表单或 JS 动态生成的表单，必须手动补上。

Yii Framework 2.0.51

Yii Framework 2.0.51 官方 Basic 应用模板，适合旧项目兼容、升级验证和开发测试。

下载

• 先确认当前配置的参数名：Yii::$app->request->csrfParam（默认是 _csrf）
• 然后在表单内加：<input type="hidden" name="<?= Yii::$app->request->csrfParam ?>" value="<?= Yii::$app->request->getCsrfToken() ?>">
• 注意：别用 Yii::$app->request->csrfToken，它会刷新令牌；getCsrfToken() 才返回当前会话已生成的那个稳定值

前后端分离场景下 Cookie 域名/Path 导致 meta 标签不可读

当前端部署在 fe.example.com、后端 API 在 api.example.com 时，CSRF Token 存在 cookie（_csrf-backend）里，但默认 domain 是 example.com，path 是 /。如果前端页面没正确读到 cookie，<meta name="csrf-token"> 就可能为空。

• 检查 config/web.php 中 request 组件的 csrfCookie 配置：
• 'csrfCookie' => ['httpOnly' => true, 'domain' => '.example.com', 'path' => '/']
• 确保前端页面域名能读取该 cookie（同域或显式设了 .example.com）
• 如果用 Nginx 反向代理，确认没丢掉 Set-Cookie 头（检查 proxy_cookie_domain 和 proxy_cookie_path）

临时禁用 CSRF 验证的风险与边界

只应在明确无用户会话、纯开放 API 接口（如 Webhook 回调）中关闭，绝不能为图省事在登录/注册/修改类 action 里关。

• 控制器内单 action 关闭：$this->enableCsrfValidation = false;（放在 action 开头）
• 全局禁用（不推荐）：'enableCsrfValidation' => false 放在 request 组件配置里
• ⚠️ 注意：enableCookieValidation 是另一回事，关它不影响 CSRF，只影响 session cookie 签名，不要混淆

最常被忽略的一点：开发环境时间不同步会导致 CSRF cookie 瞬间过期——比如本地机器时间快了 2 分钟，后端生成的 token 有效期按服务端时间算，但浏览器认为 cookie 已失效，meta 标签读不到内容，后续所有请求都崩。先校准系统时间，再查 token。