yii2 post 返回400因csrf token缺失或错误，需确保表单自动注入或手动添加隐藏字段、ajax请求携带x-csrf-token头、前后端token同步更新且存储安全。
Yii2 POST 请求返回 400：CSRF token missing or incorrect
这是 Yii2 默认开启 CSRF 防护后最常遇到的报错，本质是 Yii::$app->request->csrfToken 没传、传错、或过期。不是配置漏了，就是前端没对上后端的 token 生成逻辑。
怎么让表单提交带上正确的 CSRF token
Yii2 表单组件默认会自动注入隐藏字段，但前提是用了 $form = ActiveForm::begin()；手写 <form></form> 或用 AJAX 提交时，必须手动加 <input type="hidden" name="<?= Yii::$app->request->csrfParam ?>" value="<?= Yii::$app->request->csrfToken ?>">。
- 检查是否禁用了
enableCsrfValidation—— 不建议关，只应在极少数 API 场景下临时设为false（如在控制器 action 中加$this->enableCsrfValidation = false;） - 确保
csrfParam和csrfCookie配置一致：默认是_csrf和_csrf-backend（前后端分离时注意 cookie 域名和 path 是否可读） - AJAX 请求需在请求头中携带：
headers: { 'X-CSRF-Token': $('meta[name=csrf-token]').attr('content') }，且页面里得有<meta name="csrf-token" content="<?= Yii::$app->request->csrfToken ?>">
为什么刷新页面后第一次 POST 还是 400
因为 Yii2 的 CSRF token 是「每个会话一个初始值 + 每次使用后轮换」机制：提交成功后，服务端会生成新 token 并更新 cookie，但浏览器缓存的旧表单仍带着老值 —— 下次再提交就失效。
- 不要用 GET 请求预加载表单再 POST（比如点击按钮前先发个 GET 获取 HTML），会导致 token 不同步
- 避免在 JS 中长期缓存
Yii::$app->request->csrfToken字符串，应每次提交前重新取（或用 meta 标签动态读取） - 如果用了 Pjax，确认
pjax:success回调里已更新了表单中的 hidden input 值（Pjax 默认不重载 meta 标签）
前后端分离时 token 怎么传才可靠
后端把 csrfToken 当作普通接口字段返回（比如登录成功后返回 {"token": "...", "csrf_token": "..."}），前端存在内存里，后续所有 POST/PUT/DELETE 请求都通过 body 或 header 带上 —— 这比依赖 cookie 更可控。
- 别把
csrfToken放进 localStorage：容易被 XSS 窃取，也不如内存安全 - 后端接口需显式读取并校验：
Yii::$app->request->getBodyParam(Yii::$app->request->csrfParam)，不能只靠框架自动拦截（否则跨域等场景会跳过） - 注意
csrfCookie.httpOnly设为false才能让 JS 读到 cookie 值（但更推荐走接口返回，避开 cookie 限制）
CSRF token 不是开关问题，而是“两端时间差+传输路径+存储位置”共同决定的。最容易被忽略的是：表单渲染时刻的 token 和提交时刻的 token 必须来自同一轮会话上下文，中间任何一步异步加载、缓存、或跨域隔离，都会断链。
