手动提交表单报“无法验证您的数据提交”是因为未传或传错\_csrf字段；Yii2默认开启CSRF验证，令牌须与会话绑定且唯一；正确做法是用getCsrfToken()获取稳定令牌，并确保前端提交的值与服务端一致。
为什么手动写的 <form> 提交总报“无法验证您的数据提交”
因为你没传 _csrf 字段，或者传了但值是错的。Yii2 默认开启 CSRF 验证，所有 POST 请求都必须带一个匹配的令牌，而这个令牌不是随便生成的——它必须和当前会话绑定、且不能重复生成。
常见错误现象：
- 表单里漏掉
<input type="hidden" name="_csrf" value="..."> - 用了
Yii::$app->request->csrfToken动态取值，导致每次 AJAX 或页面渲染时拿到的都是新令牌（和服务器存的不一致） - 前后端分离时，前端页面域名和后端 API 域名不同，
meta[name="csrf-token"]为空（cookie 没被读到）
正确做法：
- 用
Yii::$app->request->getCsrfToken()获取稳定令牌（不是csrfToken属性） - 确认
csrfParam值：Yii::$app->request->csrfParam（默认是_csrf，但高级版可能为_csrf-frontend） - 手写表单必须显式加字段：
<input type="hidden" name="= Yii::$app->request->csrfParam ?>" value="= Yii::$app->request->getCsrfToken() ?>">
AJAX 提交时 X-CSRF-Token 头总是对不上怎么办
根本问题不是头没加，而是加了错误的值。服务端比对的是页面加载那一刻生成的初始令牌，不是你 JS 里实时调用 csrfToken 得到的新值。
使用场景：
- jQuery 的
$.ajaxSetup()或单个请求的headers - fetch 请求中手动设
headers: { 'X-CSRF-Token': ... }
实操建议：
- 从 DOM 读取：
$('meta[name="csrf-token"]').attr('content')（前提是页面有该 meta 标签） - 检查 meta 是否存在且非空：浏览器开发者工具 → Elements → 搜索
csrf-token - 确认 Network 中请求 Header 的
X-CSRF-Token值，是否和 meta 标签 content 完全一致（含大小写、空格） - 如果 meta 为空，检查
config/web.php中csrfCookie的domain和path是否覆盖前端页面所在域
REST 接口也报这个错？那大概率是你误启了 CSRF
Yii2 的 yii\rest\ActiveController 默认不启用 CSRF 验证。如果你在 REST 接口里看到 Unable to verify your data submission，基本可以断定是人为干预导致的。
容易踩的坑：
- 控制器继承自
yii\web\Controller而非yii\rest\ActiveController - 在
behaviors()里手动加了'class' => 'yii\filters\VerbFilter'等过滤器，间接触发了 CSRF 验证逻辑 - 全局或局部设置了
Yii::$app->request->enableCsrfValidation = true
快速排查步骤：
- 打印当前控制器类：
var_dump(get_class($this))，确认是不是ActiveController - 查看
behaviors()返回数组，找有没有csrf相关配置或依赖 CSRF 的 filter - 搜索代码中是否出现
enableCsrfValidation = true或csrfParam显式赋值
tokenParam 名字写成 access_token 却死活认证失败
这不是 CSRF 问题，但错误提示一样模糊——Your request was made with invalid。这是 QueryParamAuth 在找 access-token，你却传了 access_token。
关键点：
-
QueryParamAuth默认只认access-token（短横线），源码里$tokenParam = 'access-token' - 请求必须是
?access-token=xxx，写成?access_token=xxx就直接跳过认证 - 想改名字？在行为配置里显式覆盖：
'tokenParam' => 'access_token' - 别和
HttpBearerAuth混淆：它走Authorization: Bearer xxx，完全不看 URL 参数
复杂点在于，同一个接口可能同时支持多种认证方式，但 token 参数名必须和对应认证类的 $tokenParam 严格一致，否则连日志都不会打——静默失败。
