Yii2默认开启CSRF但需前端配Token，Yii1.1需手动配置enableCsrfValidation并手写隐藏字段，Yii3截至2026年7月尚未发布稳定版且无官方CSRF实现。
Yii2：默认开启，但前端必须配合
Yii2 默认启用 CSRF 防护（enableCsrfValidation = true），且只校验 POST/PUT/DELETE 等非安全请求。
- 后端无需额外开启——只要没在 config/web.php 或控制器里显式设为 false，就生效
- 关键在前端：表单必须包含 CSRF Token，否则提交直接 400 错误
- 推荐写法（视图中）：
= Html::csrfMetaTags() ?>（放 里），或= Html::hiddenInput('_csrf', Yii::$app->request->csrfToken) ?> - AJAX 请求要手动传：
X-CSRF-Token: xxx请求头，或在 data 中加_csrf: xxx - 注意 SameSite：PHP 层应设 Cookie 的 SameSite=Lax，避免跨站跳转时丢失 Token
Yii1.1：需手动配置，无自动注入
Yii1.1 不像 Yii2 那样默认集成，CSRF 是可选功能，需要开发者主动启用并管理 Token。
- 在
config/main.php的 components 中添加：'request'=>array('enableCsrfValidation'=>true) - 表单里要自己输出隐藏字段：
<input type="hidden" name="YII_CSRF_TOKEN" value="<?php echo Yii::app()->request->csrfToken; ?>"> - CSRF Token 存在 session 中，默认不过期；如需刷新，调用
Yii::app()->request->getNewCsrfToken() - 没有
Html::csrfMetaTags()这类封装，全靠手写或自定义 Widget
Yii3：尚未正式发布，当前无官方 CSRF 实现
截至 2026 年 7 月，Yii 官方未发布 Yii3 稳定版，也未公开其 CSRF 防护设计文档或 API。
- 社区测试版（如 yii3-dev）中暂未内置 CSRF 组件，主流做法仍是沿用 PSR-15 中间件 + 自定义 Token 验证逻辑
- 若项目基于早期 alpha 版本，应查阅对应 commit 日志或
vendor/yiisoft/yii-core源码确认是否有CsrfValidator类 - 现阶段建议：新项目优先用 Yii2.0.48+（长期支持版），或转向 Laravel/Symfony 等已明确支持现代 CSRF 策略的框架
Html::csrfMetaTags() 或 AJAX 没带 Token 头，整个表单就失效。安全不是“开了就行”，而是前后端链条都得对上。 
