Yii2中关闭CSRF验证必须在beforeAction阶段或类定义层面设置public $enableCsrfValidation = false；局部关闭需用Behavior在EVENT_BEFORE_ACTION前修改属性，否则仍400。
Yii2控制器里关CSRF验证，不能只写 $this->enableCsrfValidation = false 在 action 里——那没用，beforeAction 已经跑完了。必须在 beforeAction 阶段或类定义层面控制，否则请求直接 400 中断，连参数都收不到。
在整 Controller 中关闭 CSRF 验证
最直接、适合纯 API 接口（如支付宝回调、小程序提交）的写法：在控制器类顶部声明属性即可。
-
public $enableCsrfValidation = false;必须是类属性，不是 action 内部赋值 - 适用于整个控制器所有 action 都不走浏览器表单流程的场景，比如
NotifyController或ApiV1Controller - 不要在
Application::init()或全局 config 关闭，会削弱全站安全性 - 若同时用了
yii\rest\Controller，它默认已关 CSRF，无需重复设置
只对某个 action 关闭 CSRF 验证
常见于混合型控制器：大部分 action 是 Web 表单，但其中一两个是第三方回调（如微信通知、支付异步通知），必须局部关。
- 不能靠
if ($action->id === 'notify') { $this->enableCsrfValidation = false; }放在 beforeAction 里——因为 Yii 的 CSRF 校验逻辑就在 beforeAction 中间执行，赋值太晚 - 正确做法是用 Behavior，例如自定义
NoCsrf行为，在EVENT_BEFORE_ACTION触发前就改掉控制器的$enableCsrfValidation - 行为配置示例：
public function behaviors() { return [ 'csrf' => [ 'class' => NoCsrf::className(), 'actions' => ['notify', 'callback'] ], ]; } -
NoCsrf类中需确保在beforeAction事件里把$this->controller->enableCsrfValidation = false;写在 CSRF 校验逻辑之前（即早于父类beforeAction）
为什么关了还是 400？检查这三点
关了属性却仍报 Unable to verify your data submission，大概率是下面某个环节漏了：
- 确认请求确实是 POST —— GET 请求不会触发 CSRF 校验，但如果你在 GET 路由里误写了 POST 处理逻辑，容易误判
- 检查是否用了
Yii::$app->request->post()以外的方式读取数据：支付宝/微信回调必须用file_get_contents('php://input')，否则load()拿不到原始 body，validateCsrfToken()会静默失败 - 确认没在其他地方覆盖了该属性：比如父类控制器已设
public $enableCsrfValidation = true;，子类没显式重写，就会继承生效
关 CSRF 后还要注意什么
关只是第一步，不是终点。尤其对外接口，关了 CSRF 就得补其他防护，否则等于裸奔：
- 支付宝回调必须做 RSA2 验签，且响应体只能是纯文本
success，多一个空格、换行、JSON 都会导致验签失败 - 微信回调要校验
msg_signature和时间戳，不能只依赖关 CSRF - 如果关了 CSRF 却还用
$model->load($request->post())，记得手动处理空数组或非法字段，因为少了 CSRF 这层过滤，恶意请求更容易穿透 - 日志里留意
BadRequestHttpException是否真消失了——有时候你以为关了，其实是异常被其他中间件捕获并吞掉了
真正难的不是“怎么关”，而是关在哪、为什么关、关完怎么兜住安全缺口。局部关闭最容易出问题的地方，是以为 Behavior 生效了，其实事件注册顺序不对，或者 action ID 写错大小写——Yii 对 action 名是严格区分大小写的。
