ThinkPHP表单令牌验证失败的核心是客户端提交的Token值与服务端Session中存储的原始值不匹配或未送达；根源在于生成、传递、比对、销毁任一环节中断，需逐环排查。
ThinkPHP表单令牌验证失败，核心是客户端提交的 Token 值与服务端 Session 中存储的原始值不匹配或根本未送达。这不是配置开关没打开的问题，而是生成、传递、比对、销毁四个环节中某一处断了链。
Token 字段没正确输出或被覆盖
模板里没加 Token，或加了但被缓存/重复调用/位置错误，导致提交时压根没带值。
- 检查表单内部是否明确写了
{:token_field()}（推荐）或{:token()}+ 手动写<input type="hidden" name="__token__" value="..."> - 查看页面源码，确认存在且只有一个
name="__token__"的隐藏字段，value 不为空 - 多个表单共存时，避免全用
{:token_field()}自动生成——建议只在主表单加，其余加{__NOTOKEN__}显式跳过 - 关闭模板缓存调试：
'template' => ['cache' => false]，防止旧 Token 被硬编码进 HTML
Session 异常导致服务端无据可查
Token 验证依赖 Session 存原始哈希，Session 启动失败、路径不可写、跨域失效、GC 回收过早，都会让比对变成“跟空气对比”。
- 确认入口文件或配置已启用 Session，如
session_start()或配置'session' => true - 检查
session.save_path目录是否可写，Linux 下常见权限问题 - 多子域名或前后端分离部署时，核对
session.cookie_domain是否设为.example.com等统一域 - 调整
session.gc_maxlifetime（如设为 1440），避免用户停留稍久就过期
提交行为触发了一次性销毁机制
ThinkPHP 默认 Token 提交即作废。同一页面开多个标签、快速点两次提交、后退再提交，都可能拿着已被清掉的旧值来校验。
立即学习“PHP免费学习笔记（深入）”；
- 前端提交后立即禁用按钮：
button.disabled = true，防止重复点击 - AJAX 提交后，主动刷新 Token：调用
url('refresh/token')接口获取新值，再填入[name="__token__"] - 登录/表单页出错后（如密码错），必须返回新页面或重置 Token，不能直接后退复用旧表单
- 若业务允许，可设
'TOKEN_RESET' => true并在验证失败后自动生成新 Token 返回给前端
请求方式或传输链路不匹配
Token 只对 POST/PUT/DELETE 生效，且字段名、方法、域名必须严格一致；AJAX 尤其容易漏传或传错。
- 确认表单
method="post"，GET 请求不会触发校验（但也拿不到 Token） - AJAX 请求需手动携带：
headers: {'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')}，或把__token__当普通参数传 - 前后端分离时，确保 API 域名与 Session Cookie 域名一致；否则换域名=换 Session=无 Token 记录
- 负载均衡环境必须共享 Session 存储（如 Redis），否则生成 Token 的机器和接收请求的机器不是同一个，必然 mismatch
不复杂但容易忽略：Token 是会话级动态哈希，不是固定字符串。它绑定控制器、操作、时间戳和密钥，每次刷新页面都会变。盯住“生成—携带—提交—销毁”这条线，一环一环顺下去，90% 的 mismatch 都能定位清楚。
